TSF S.p.A Roma – Via V. G. Galati 71 Tel Società soggetta all’attività di Direzione e Coordinamento di AlmavivA S.p.A. Assessment di sicurezza Sull’evoluzione 2008 dell’infrastruttura applicativa PIC 20 Novembre 2008

2 Oggetto dell’assessment Obiettivo Rilevare ed evidenziare eventuali punti critici di sicurezza presenti nell’introduzione di funzionalità aggiuntive fruibili da postazioni PIC operative ed in particolare la possibilità di accedere a:   tutti i siti del dominio.rfi.it   tutti i siti del dominio.gruppofs.it   tutti i siti del dominio.in-fs.it Target Delta architetturale e funzionale Ambiente centrale Già analizzato e certificato

Risk Analysis - Modalità di svolgimento (1/2) 3 Approccio   Prettamente tecnologico   Aderente ai controlli ISO27001 Attività previste   A.1 - Verifica delle policy "rilassate" sulla PDL PIC   A.2 - Analisi della sicurezza della sistema di posta, in merito alle sole relazioni con la PDL PIC   A.3 - Analisi modalità di accesso ai siti web intranet da parte della PDL PIC   A.4 - Verifica regole firewall, router e reverse proxy aggiunte   A.5 - Analisi dello stato di blindatura del reverse proxy   A.6 - Analisi dei flussi di comunicazione tra PDL PIC e reverse proxy

Risk Analysis - Modalità di svolgimento (2/2) 4 Attività previste   A.7 - Valutazione delle minacce, analisi dei rischi tecnologici e valutazione quantitativa del rischio residuo   A.8 - Valutazione dei GAP rispetto ai controlli previsti dalla ISO27001 Delivery   Documento descrittivo delle attività eseguite, dei risultati ottenuti e delle azioni che eventualmente si consigliano di effettuare   Mitigazione del rischio qualitativa   GAP con i controlli ISO27001

Risk Analysis – Primi Risultati

6 Variazioni rilevanti occorse Sulla postazione PIC operativa   possibilità di eseguire il browser internet explorer   possibilità di lanciare l’eseguibile RunAs sviluppato ad hoc   possibilità di accedere al servizio OWA per la posta elettronica   possibilità di accedere ai portali lineadiretta. gruppofs.it e portalerfi.rfi.it Sul firewall   Aggiunta di nuove regole per l’accesso ai servizi richiesti Sul dominio   Aggiunta di RunAs, iexplore, nella whitelist degli eseguibili ammessi Sul router   Nessuna variazione Sul server OWA e sui portali indicati   Nessuna variazione

Controlli ISO applicati 7 Controllo ISOVariazione o Consiglio A (organizzativo) A (tecnologico) E’ specificato nel controllo che verranno effettuate delle verifiche sia di rete che applicative. Le prime sono già programmate, le seconde non ancora (in riferimento all’eseguibile runas sviluppato ad hoc). A Si evidenzia come siano previsti dei test di capacity per rilevare eventuali problematiche di performance e/o colli di bottiglia. In questo caso, l’accesso prima non esistente da parte delle postazioni operative PIC verso OWA, portale RFI e LineaDiretta potrebbe generare del traffico non previsto. A A Si sottolinea come sia necessario integrare il tracciamento via log, anche per le nuove funzionalità a cui le postazioni PIC avranno accesso. A Le politiche di controllo accessi legate a requisiti di sicurezza e di business sono variate e quindi occorrerà rendere evidenza cartacea del fatto. A Sono da aggiungere dei nuovi target all’insieme di quelli previsti come destinazioni raggiungibili dalle postazioni. A Viene menzionato il solo utilizzo di canali SSL mentre in realtà l’accesso alle nuove funzionalità può avvenire anche su canale in chiaro http.

Controlli ISO non applicati 8 Controllo ISO Variazione o Consiglio A In questo controllo non applicato viene specificato che nessuna postazione è dotata di supporti rimovibili. Non è chiaro se si tratti di blocchi garantiti da configurazione oppure dalla assenza fisica delle porte. A A Con le evoluzioni relative ad OWA, il canale di posta dovrà essere considerato come possibile fonte di data leakage. A Il timeout per le sessioni ora è applicato al sistema di posta OWA. A Da rivalutare qualora non si ritenga più la rete PIC “logicamente separata” da tutte le altre.

Potenziali vulnerabilità (1) 9   V01 – Esecuzione di script via browser   causare sulla postazione operativa PIC l’esecuzione di ActiveX o di altra tipologia di malware interpretabile ed eseguibile dal browser   V02 – Esecuzione di codice via browser   causare sulla postazione operativa PIC l’esecuzione di un codice arbitrario che sfrutta vulnerabilità presenti nel browser e nelle sue eventuali estensioni   V03 – Esecuzione di macro excel   causare sulla postazione operativa PIC l’esecuzione di macro dannose attraverso l’utilizzo di una versione vulnerabile del tool Excel   V04 – Canale di posta   utilizzare il canale di posta come vettore di iniezione di malware, attraverso internet explorer e excel (i due eseguibili inseriti nella whitelist delle group policy)

Potenziali vulnerabilità (2) 10   V05 – Configurazione proxy   è possibile utilizzare il browser delle postazioni web per raggiungere siti della intranet   V06 – Canale in chiaro   per tutti i target indicati esiste la possibilità di comunicare in chiaro attraverso il protocollo http   V07 – Manipolazione dell’autenticazione   effettuando azioni di reverse engineering e di debug dell’esecuzione del codice custom RunAs si potrebbe manipolare l’autenticazione bypassandola oppure impersonificando un altro utente

Cosa manca: quantificazione Probabilità e Impatto 11 VulnerabilitàStoricoSkill Valore della Probabilità di Accadimento V01Medio V02Alto V03Medio V04Alto V05Basso V06Medio V07Alto VulnerabilitàAsettico Impor tanza Valore Impatto per Integrità, Disponibilità e Confidenzialità V01Basso V02Basso V03// V04Medio V05// V06// V07Alto

Cosa manca: quantificazione rischio e accettazione 12 Vulnerabilità Probabilità di Accadimento Impatto relativo alla integrità Valore del Rischio di Integrità, Disponibilità e Confidenzialità V01 V02 V03 V04 V05 V06 V07 Accettazione del rischio Mitigazione del rischio

Proposta per PT e VA

Proposta di verifiche da eseguire 14 A. A. Controllo dell’effettiva blindatura delle postazioni operative PIC in merito alla whitelist di eseguibili lanciabili dall’operatore B. B. Controllo dello stato di aggiornamento e di hardening della postazione operativa “tipo” C. C. Test di raggiungibilità DALLA postazione operativa PIC ai soli siti ammessi D. D. Controllo dei processi attivi e delle porte aperte sulla postazione operativa “tipo” E. E. Test di verifica dell’effettiva protezione da malware della postazione operativa PIC attraverso l’invio di un set di mail malevole ad hoc (virus molto datato, virus molto recente, attachment zip con password, macro excel, virus excel, spyware) F. F. Vulnerability assessment sul server OWA G. G. Test di raggiungibilità della postazione operativa PIC dalla VPN Verde H. H. Raggiungibilità del CED RFI attestandosi con un portatile nella stessa rete della Postazione operativa PIC I. I. Verifica della possibilità di effettuare reverse engineering sul codice RunAs sviluppato ad hoc e conseguente verifica della possibilità di effettuare manipolazioni dell’autenticazione (da valutarne l’esecuzione in fasi successive).

Guidelines per attività di PT e VA

Linee Guida per PT e VA [TUV]

Pianificazione

Pianificazione (bozza per discussione) 18