Intrusion Detection System Sicurezza - anno 2008/2009 Cornacchia Gabriele – Martuzzi Marco Gruppo 10

Sicurezza & Internet Sempre più utenti usano il proprio personal computer per ottenere accesso alle risorse offerte da internet. Il protocollo internet non è stato creato per essere nel suo insieme sicuro. La sicurezza quindi è un grande problema, che richiede tecnologie: preventive; di rilevamento; di reazione.

QUANDO UN DATO PUO’ ESSERE CONSIDERATO SICURO? Un dato per essere definito sicuro deve possedere le seguenti caratteristiche: Confidentiality (confidenzialità): tutelare la segretezza delle informazioni Integrity (integrità): tutelare l'integrità delle informazioni Availability (disponibilità): tutelare l'efficienza del sistema Reserve (riservatezza): tutelare la trasmissione per evitare l’intercettazione da parte di terzi

INTRUSIONE Un intrusione può essere definita come qualsiasi insieme di azioni che tentano di compromettere l'integrità, la confidenzialità o la reperibilità di una risorsa. Tutte le intrusioni sono definite relativamente alla politica di sicurezza, che definisce cosa è o cosa non è permesso in un sistema;

CLASSIFICAZIONE DELLE INTRUSIONI Classificazione delle intrusioni, a seconda della loro provenienza: External Penetrator: colui che accede ad un sistema al quale non dovrebbe avere accesso; Masquerader: colui che riesce ad accedere ad un sistema autenticandosi come utente autorizzato; Misfeasor (malintenzionato): utente abilitato che abusa dei suoi privilegi attaccando la sicurezza del sistema; Clandestine user: colui che riesce ad accedere al sistema autenticandosi come amministratore del sistema.

VIOLAZIONE DELLA SICUREZZA (1/2) Esistono altri tipi di violazione di sicurezza: Tentate intrusioni: qualcuno che cerca di introdursi in un sistema può generare un alto tasso di password errate per un determinato account; Fuoriuscita di dati da utenti legittimi: Un utente che tenta di rubare dati sensibili può loggarsi nel sistema ad orari inusuali o stampare in stampanti remote non normalmente usate; Inferenza : un utente cerca di ottenere dati non autorizzati da un database attraverso aggregazione e inferenza;

VIOLAZIONE DELLA SICUREZZA (2/2) Cavalli di troia: la presenza di un cavallo di troia può far cambiare il comportamento del programma in termini di uso di CPU e I/O; Virus: la presenza di un virus può causare in incremento nella sovrascrittura di programmi eseguibili o salvataggio in memoria di programmi; Denial Of Service: L'intruso cerca di portare il funzionamento di un sistema informatico al limite delle prestazioni, fino a renderlo non più in grado di erogare il servizio.

LE FASI DELL’ATTACCO Hiding (Mascheramento): l’attacker cerca di “cammuffarsi”, nascondendo la propria reale ubicazione, per evitare di essere tracciato e identificato; Information Gathering (Raccolta di informazioni): l’attacker cerca di raccogliere il maggior numero di informazioni pubbliche sul bersaglio; System Penetration (Intrusione): l’attacker sferra l’attacco vero e proprio; Cleaning (Pulizia): l’attacker procede con la cancellazione delle traccie lasciate, per evitare di essere scoperto.

INTRUSION DETECTION SYSTEM I.D.S. o sistema di rilevamento delle intrusioni è uno strumento, software o hardware, che automatizza il processo di monitoraggio impiegato per individuare eventi che rappresentano intrusioni non autorizzate ai computer oppure alle reti locali.

Un po’ di storia 1980: James Anderson propose alla US Air Force un metodo per processare gli audit trails al fine di rilevare attività inusuali; 1987: Dorothy Denning presentò il primo modello astratto di IDS da cui derivò in seguito IDES; 1991: L’università della California introdusse il concetto di DIDS; 1998: R. Anderson e A. Khattak introdussero tecniche di Information Retrieval agli IDS.

Come opera un IDS Un IDS funziona intercettando tutto il traffico, analizzando pacchetto per pacchetto, un particolare segmento di rete e scatenando un allarme per l'amministratore di rete in caso di matching positivo di una signature a seguito dell'individuazione di un pacchetto malevolo.

IDS vs Firewall Un IDS può essere considerato come un antifurto, cioè cerca di rilevarle eventuali intrusioni Un firewall può essere considerato come una porta blindata, serve bloccare le eventuali intrusioni

How much noise can you tolerate? IDS perfetto Un IDS perfetto sarebbe quello che riesce ad individuare tutte le reali intrusioni, perchè ci si troverà di fronte a: Falsi positivi: IDS rileva un'anomalia, ma non è successo niente Falsi negativi: IDS non rileva un'intrusione avvenuta You also want to be able sleep at night without your IDS constantly paging you and your security staff How much noise can you tolerate?

CARATTERISTICHE PER UN BUON IDS (1/2) deve funzionare senza sosta e senza la supervisione umana; non deve essere una black box (scatola nera); deve essere fault tolerant; deve resistere a sabotaggi;

CARATTERISTICHE PER UN BUON IDS (2/2) deve imporre il minimo overhead del sistema; deve osservare le anomalie rispetto alla normale routine di azioni svolte sul sistema; deve essere adattabile ai vari tipi di sistemi; deve funzionare anche se si modificano o si aggiungono nuove applicazioni al sistema.

CLASSIFICAZIONE IDS - Anomaly & Policy Anomaly detection (o euristici): tutte le volte che l’IDS registra azioni diverse dal “normale”, segnala all’amministratore l’avvenuta intrusione. Pro: il programma impara da solo quali sono le azioni “normali”; facile da implementare; si affina con l’aumentare dei dati. Contro: potrebbe considerare “normali”, azioni pericolose, solo perché avvengono di frequente; potrebbe portare ad un blocco a causa dell’elevato numero di falsi positivi.

CLASSIFICAZIONE IDS - Anomaly & Policy Policy detection (pattern matching): è basato su un database di azioni innocue o dannose o di regola, per il rilevamento degli attacchi fornite al sistema dall'amministratore. Pro: minimizza i casi di falsi positivi, se il database è aggiornato di frequente. Contro: maggior dispendio di risorse umane per l’aggiornamento del database; la negligenza dell’amministratore porterebbe ad una insicurezza globale del sistema. 17

CLASSIFICAZIONE IDS - NIDS & HIDS Pro: real time; costi minori dei HIDS; non dipendono dalle architetture e dai sistemi operativi, perchè si basano sui protocolli di rete. Contro: il traffico è cifrato rende difficile il compito ai NIDS. HIDS: utili contro attacchi di tipo Masquerader. non sono real time, si corre il rischio che l'attacco venga scoperto solo dopo che ha causato danni o disservizi. 18

DISTRIBUTED INTRUSION DETECTION SYSTEM Un IDS distribuito, o DIDS, è una combinazione di sensori NIDS e sensori HIDS, distribuiti attraverso la rete aziendale, che riportano le informazioni a un sistema centrale di coordinamento. I log degli attacchi sono generati sui sensori e trasferiti, periodicamente o continuamente, alla stazione server centrale dove possono essere archiviati in un database Ogni sensore può avere un set di regole personalizzato per le necessità della rete o dell'host monitorati dai sensori.

DIDS

WIRELESS INTRUSION DETECTION SYSTEM I tipi di eventi monitorati da un Wireless IDS sono: uso non autorizzato di apparati wireless; stazioni o “access point” che usano protocolli non sicuri; pattern di traffico anomali; uso di war driving tools, che sono scanner utilizzati dagli attaccanti per rilevare reti wireless “aperte”; attacchi di tipo Denial Of Service; attacchi di spoofing; I sensori Wireless possono essere sia fissi, ad esempio su un PC desktop con interfaccia wireless, che mobili, ad esempio un portatile con integrato un Wireless IDS.

WIDS

INTRUSION DETECTION EXPERT SYSTEM – IDES Ideato da Dorothy E. Denning nel 1987 Modello per l’intrusion detection indipendente da: qualsiasi particolare sistema, applicazione, vulnerabilità di sistema o tipo di intrusione. Fornisce una struttura generale per un sistema esperto per l'intrusion detection. Idea base: monitorare le operazioni standard sul nostro sistema di riferimento (login, esecuzione di programmi e comandi, accessi a file e periferiche) cercando le anomalie nel loro utilizzo.

IDES - Componenti Soggetti: utenti di un sistema, un processo, o il sistema stesso. Oggetti: risorse controllate dai file di sistema, comandi o periferiche. Audit record: generati dal sistema in risposta ad azioni svolte o tentate da soggetti su determinati oggetti. Profili: struttura che caratterizza il comportamento di soggetti in termini di metriche statistiche e modelli di una attività osservata, per un dato oggetto (o un insieme di oggetti). Anomaly record: generati quando viene rilevato un comportamento anomalo Regole di attività: azioni intraprese quando viene generato un audit record o un anomaly record o quando certe condizioni sono verificate.

IDES → Profili → Metriche Una metrica è una variabile x che rappresenta una misura quantitativa accumulata in un certo periodo di tempo: contatori di eventi: x rappresenta il numero di audit records che soddisfano certe proprietà e che si verificano in un certo periodo di tempo. (Es. numero di logins per ora) intervalli temporali: x indica l'intervallo di tempo tra due eventi correlati (es. tempo intercorso tra due successivi login in un account) misuratori di risorse: x è la quantità di una certa risorsa consumata da certe azioni in un periodo di tempo. (es. quantità di tempo calcolo consumato da un certo programma in esecuzione).

IDES → Profili → Modelli statistici Data una metrica per una variabile x e n osservazioni xi i=1..n lo scopo di un modello statistico di x è di determinare se una nuova osservazione xn+1 è anomala rispetto alle osservazioni precedenti. Modello operazionale: viene comparata la nuova osservazione di x con limiti fissati (attraverso osservazioni a priori). (es. ripetuto numero di password failures in un breve periodo) Modello della media e deviazione standard: una nuova osservazione xn+1 è definita anomala se ricade al di fuori di un certo intervallo di confidenza dai valori della media e della deviazione standard conosciuti per quella variabile Modello multivariato : come il modello (2) ma combina più metriche contemporaneamente.

IDES - Funzionamento Quindi un profilo contiene informazioni che identificano il modello statistico e la metrica adottati per una data variabile. Una volta che viene registrata una nuova osservazione (il sistema genera un nuovo audit record), viene aggiornata la distribuzione della variabile coinvolta e viene controllata se risulta essere anomala oppure no controllando il valore della variabile in base al modello statistico utilizzato. I falsi allarmi possono essere controllati da un'appropriata scelta del modello statistico per le attività che causano tali allarmi e da un'appropriata scelta dei profili.

IDES - Esempi ATTIVITA' DI LOGIN soggetto=utente, oggetto=terminale, rete, host remoto etc action=login/logout Profilo = Password Fails: contatore che misura il numero di volte che un utente sbaglia la password a tempo di login utilizzando il modello operazionale. Utile per scovare le tentate intrusioni ESECUZIONE DI PROGRAMMI O COMANDI soggetto= utente,oggetto=nome del programma azione=esegui Profilo = Program CPU: misuratore di risorse di cpu usata da una singola esecuzione di programma. Usando il modello della media e della deviazione standard risulta idonea per scovare cavalli di troia o virus nel programma

NETWORK INTRUSION DETECTION SYSTEM Composti da uno o piu sensori dislocati sulla rete, che comunicano con un server centralizzato, che in genere si appoggia ad un Database; Solitamente sono collegati ad uno switch tramite una spanning-mirror, che è una porta su cui viene copiato tutto il traffico; non dipendono dalle architetture e dai sistemi operativi; sono real time.

COME FUNZIONANO? Monitorano il traffico di rete mediante sniffing dei pacchetti alla ricerca di firme di attacchi noti, oppure alla ricerca di traffico statisticamente anomalo. I pacchetti prelevati vengono passati ad un detection engine che decide se è in presenza di un tentativo di intrusione. Non bloccano il flusso di pacchetti. Allertano gli amministratori di sistema quando potenziale traffico ostile viene rilevato.

LOGGING EVENTI Accurata azione di logging degli eventi e delle attività registrandone: la data e l’ora; l’ID di sessione (ad esempio, un numero consecutivo assegnato ad ogni nuova connessione TCP); il tipo di evento; il grado di pericolosità dell'evento; l’IP e porta sorgente e destinazione, e il protocollo di trasporto; il numero di byte trasmessi su quella connessione; i dati appartenenti al payload, ad esempio codici HTTP di request e response;

NIDS - Attacchi rilevati Fra le attività anomale che possono presentarsi e venire rilevate da un NIDS vi sono: accessi non autorizzati; propagazione di software malevolo; acquisizione abusiva di privilegi appartenenti a soggetti autorizzati; Denial of Service. buffer overflow, format string attack; port scanning, attacchi di SYN IP spoofing; presenza di backdoor.

NIDS - Limitazioni Non possono rilevare attacchi che sfrutta traffico di rete crittografato (VPN, HTTPS, SSH); impossibilità di controllare tutti i pacchetti se il traffico di rete è molto pesante; suscettibili a vari tipi di attacchi: DDos (distributed denial of service), 0-day attack.

SNORT E’ un network based IDS: Realtime; lightweight; risposta passiva alle intrusioni; ottima accuratezza nel rilevamento delle intrusioni che sfruttano vulnerabilita note. struttura modulare; portabile; licenza GNU GPL.

SNORT - Componenti Una serie di decoder scompongono i pacchetti ai vari strati (data link, IP, TCP). I preprocessor si occupano di seguire lo stato della connessione e di riconoscere eventuali anomalie in tale ambito. Il detection engine verifica circa 2.500 regole generali di vario tipo, utilizzando un algoritmo di ricerca multipattern; Gli output plug-in permettono di configurare i log e gli allarmi;

HOST INTRUSION DETECTION SYSTEM Un HIDS consiste in un componente che analizza l'host alla ricerca di intrusioni. Le intrusioni vengono individuate analizzando: la struttura dei file di log del sistema; le system call; le modifiche subite dal filesystem.

Principio di base Se l'attaccante riesce a forzare il sistema deve lasciare traccia del suo passaggio anche perché probabilmente l'attaccante installerà nel computer uno o più programmi deputati alla raccolta di informazioni o alla gestione remota della macchina. L'installazione e l'attivazione di questi programmi modificano lo stato interno della macchina e un buon HIDS dovrebbe essere in grado di rilevare un'intrusione.

HIDS - Compiti Controllare i processi in esecuzione per rilevare programmi modificati; rilevamento di buffer overflow; rilevare tentativi di attacco al sistema; controllare l’integrità del file system; controllare le modifiche ai permessi e ai proprietari dei file; controllare l’utilizzo delle risorse da parte dei processi in esecuzione.

Funzionamento Durante l'installazione e ad ogni modifica autorizzata di oggetti questi vengono analizzati e vengono memorizzati gli attributi e viene calcolato il checksum del contenuto. L’HIDS controlla regolarmente gli oggetti confrontandoli con quelli salvati nel proprio database e segnala le eventuali anomalie (via mail, file di log, finestre a video) . L’analisi di tutti gli elementi comporterebbe un rallentamento inaccettabile del sistema. Per questo motivo, gli oggetti considerati meno critici vengono sottoposti a controlli più veloci che non usano il checksum ma controllano solo gli attributi.

HIDS - Auto protezione Un HIDS utilizzerà normalmente un insieme di tecniche aggiuntive per rivelare violazioni nel proprio database degli oggetti e per rendere queste violazioni difficili. Soluzioni: Protezione crittografica del database; memorizzare il database dell'HIDS in un supporto non cancellabile come un CD-ROM (solo se modifiche infrequenti); memorizzare il database in un'altra macchina separata da quelle da controllare.

TRIPWIRE Tripwire fu inizialmente sviluppato nel 1992 da Gene H. Kim e Eugene H. Spafford della “Purdue University“, come progetto di HIDS. Nel 1998 fu fondata la Tripwire Corporation che riscrisse quasi completamente il codice e trasformo il programma in un progetto commerciale. Dal 2002 c'e anche una versione free del progetto destinata al mondo Linux.

TRIPWIRE - Meccanismo base In generale tutte le versioni del software Tripwire utilizzano una stategia simile, si servono di un insieme di file per memorizzare delle informazioni necessarie per verificare eventuali future manomissioni. Questi file vengono anche chiamati componenti. Essi contengono determinate informazioni quali: il modo in cui deve essere controllato il sistema; le chiavi (necessarie per la firma digitale e la cifratura di dati sensibili) ; altre informazioni tra le quali le istantanee.

TRIPWIRE - Componenti 1/2 Il file di policy: contiene le regole che specificano come controllare un determinato oggetto di sistema e descrivono quali modifiche all'oggetto devono essere notificate e quali possono essere ignorate. Il database dei file di sistema: contiene l’istantanea del sistema, protetta da firma digitale. I file di report: risultati del controllo (integrity check) tra l’istantanea attuale e l’istantanea memorizzata.

TRIPWIRE - Componenti 2/2 Il file di configurazione: memorizza informazioni specifiche del sistema. I file site key e file local key: contengono entrambi una coppia di chiavi ( chiave pubblica/chiave privata) che servono per proteggere le componenti di Tripwire. Le chiavi private sono protette con delle passphrases inserite dall'utente. l file site key è usato per proteggere i file di policy e di configurazione, mentre il local key file è usato per proteggere il database e opzionalmente i file di report.

PERCHE’ E’ SICURO TRIPWIRE ? Firma digitale: garantisce l’autenticità delle istantanee memorizzate. Cifratura simmetrica: (triplo-DES) per la memorizzazione cifrata delle chiavi site-key e local- key. Funzioni hash: per verificare se è stata effettuata qualche modifica a file.

OLTRE GLI IDS Nuova generazione di IDS, gli Intrusion Prevention System – IPS, i quali rilevato un tentativo di intrusione illecito, lo bloccano sul nascere. L'ultima frontiera degli IDS sono le piattaforme Unified Threat Management – UTM dette anche Next Generations Firewall che sono prodotti completamente differenti, in quanto apportano molteplici capacità di sicurezza come firewall, VPN, antivirus, filtri Web, IPS e anti-spam.

RIFERIMENTI Matteo Selmi, Enrico Tassi, “Intrusion Detection Systems Snort e Tripwire”, 27 settembre 2003 Antonio Sortino, “I sistemi antiintrusione nelle reti aziendali”, 2007 Gabriella Xilurakis, “Sistemi di Rilevamento delle Intrusioni.”, 2007 Ozalp Babaoglu, “IDS: Intrusion Detection Systems”, 2007 Igor Falcomatà, “I sistemi di Intrusion Detection” Martin Roesch, “SNORT – Lightweight intrusion detection for networks”, 1999 Doroty E.Denning, “An intrusion detection model”, 1987 NIST SP 800-94, “Guide to Intrusion Detection and Prevention Systems (IDPS)”, 2007

RIFERIMENTI http://en.wikipedia.org/wiki/Intrusion_detection_system http://en.wikipedia.org/wiki/Network_intrusion_detection_system http://en.wikipedia.org/wiki/Host-based_intrusion_detection_system http://www.dia.unisa.it/~ads/corso-security/www/CORSO- 0203/tripwire/tripwire.htm http://www.snort.org http://www.tripwire.com