Newsgroup: it.comp.os.linux.sys
Titolo: Proteggere IIS

Uno dei miei clienti ha un server web con IIS (non ho fatto io la web
application e non si può cambiare). Visto che già un paio di volte il
server è stato bucato e che ci sono delle funzionalità importanti,
legate a dei pagamenti, mi è stato chiesto di proteggerlo.
Ora, non volendo arrivare a soluzioni paranoiche, (anche perchè il
cliente è di manica piuttosto stretta) io avevo proposto di mettere un
reverse proxy con nginx in DMZ e portare la macchina IIS nella rete
interna.
Secondo voi ci sono altre contromisure da prendere?La macchina è
protetta da un firewall pfSense, sono abbastanza tranquillo da quel
punto di vista.

 punto di vista.
Si, sapere cosa succede sarebbe giï¿œ un buon inizio.
Senza conoscere come e dove entrano difficilmente potrai imbastire 
delle protezioni adeguate.

 delle protezioni adeguate.
Sono entrati sfruttando delle vulnerabilità dell'IIS non patchato.A
quei tempi non me ne occupavo io,ma volevo evitare che questo accada
di nuovo.Va bene che ho messo WSUS e che quindi le patch dovrebbero
passare automaticamente,ma fidarsi è bene,non fidarsi è meglio,specie
se riferito al mondo Ms

 Sono entrati sfruttando delle vulnerabilit� dell'IIS non patchato.
Quali vulnerabilit�? Non � che la sola presenza di un reverse proxy risolva 
automaticamente tutti i problemi, specie se sono legati all'applicazione.
-- 
Flavio Visentin
Scientists have finally discovered what's wrong with the female brain:
On the left side, there is nothing right, and on the right side, there
is nothing left.

 punto di vista.
secondo me oggi un firwewall degno di questo nome lavora a livello 
applicativo: blocca stringhe sospette/troppo lunghe/paciugate nelle url, 
magari filtra i metodi inutili, etc etc. Lavorare solo a livello 3/4 e' 
insufficiente. Quindi oltre al pfsense mettere un reverse proxy e' bene.
Pero' se l'applicazione e' fatta male, o molto male, e pure "allettante" 
(soldi di mezzo...) non c'e' molto da fare se non l'uso di 
un'applicazione fatta bene.
--
tinto

 un'applicazione fatta bene.
La dura realt� dei fatti � che il 90% delle applicazioni � fatta con i 
piedi (dal punto di vista della sicurezza), ancora trovi in giro aree 
riservate & Co. dove viene passato un GET ad un include senza la minima 
preoccupazione, al massimo si preoccupano di offuscare il sorgente per 
paura che qualcuno gli rubi le idee.. (sai che idee..)
Meglio cambiare fornitori..

 Lavorare solo a livello 3/4 e' insufficiente.
Lavorare a livello 3/4 � esattamente quello che spetta ad un firewall.
E' anche concettualmente scorretto demandare ad un firewall l'attivit� di 
mitigazione delle minacce informatiche che sfruttano vulnerabilit� nelle 
applicazioni.


 interna.
BRAVO!
mettilo nella rete interna! OTTIMO!
cos� se lo ri-bucano ancora sono in LAN.
-- 
A: Because we read from top to bottom, left to right.
Q: Why should i start my reply below the quoted text?

 insufficiente.
Opinabile: ognuno dovrebbe fare il proprio mestiere, aka eliminazione alla 
fonte di metodi HTTP inutili o potenzialmente pericolosi, mod_security e 
simili, oltre ad applicazioni scritte con un occhio alla sicurezza.

 simili, oltre ad applicazioni scritte con un occhio alla sicurezza.
forse opinabile, ma di sicuro e' positivo, secondo me, avere concentrato 
in una sola appliance il "firewall" di livello 3/4 e il "firewall" di 
livello applicativo. Per semplicita' e velocita' di gestione quando ti 
chiedono le solite "modifiche per ieri".
Anche perche' sappiamo come va il mondo, e visto che almeno una macchina 
di "cold backup" per ogni potenziale "single point of failure" la devi 
avere, se concentri risparmi.
--
tinto

 avere, se concentri risparmi.
Chiamerei queste tesi
"security through black boxes".
Le configuri, te ne dimentichi, non curi pi� la sicurezza, tanto ci sono le
"black box che ci pensano" ...
E poi la prendi nel *baugigi* lo stesso. C'� a chi piace, dopotutto.
Il mondo va cos�: risparmi un p� configurando ste cose...
Poi quando ti bucano perch� ti senti sicuro, se ti rubano dati sensibili o
ti piallano dati di produzione, di soldi ne spendi ben di pi�.


 application e non si può cambiare). Visto che già un paio di volte il
]zac[
Tradotto, ho una porta in una banca, dalla porta entrano i ladri, se sposta
la banca (e la porta) miglioro la sicurezza?
In sintesi se è l'applicazione web che deve essere accessibile dall'esterno
ed è lei ad avere dei bug di sicurezza, l'unica è correggere i bug
dell'applicazione web.

Nel mezzo del cammin di nostra vita, mi ritrovai con Giuseppe Della Bianca
che diceva:

Io c'ho provato almeno 10 volte a spiegarlo al cliente, ma non vuol 
capire; tantomeno gli sviluppatori...
-- 
"Le opinioni dei fanatici prescindono dai fatti"
python -c "print 'bG9ybWF5bmFAZ21haWwuY29t'.decode('base64')"
Linux Registered User: 461615

 "black box che ci pensano" ...
non e' automatico che uno se ne dimentichi, e ribadisco che dal mio 
punto di vista di sistemista (scarsissimo, certamente, pure con tante 
cose da fare e un N di colleghi scaricabarile) comunque non posso 
controllare le applicazioni, se anche le applicazioni fanno schifo e lo 
segnalo mi viene risposto "problema tuo" (mio?).
Proprio in questi giorni sto avendo a che fare con una applicazione che 
vogliono prenda dati da un NAS pero' questo deve essere a sicurezza=0 
perche' l'applicazione non e' in grado ne' di passare una minima 
username/password per accedere al nas ne' di usare il disco di rete 
mappato dal sistema operativo. Sistema operativo, per inciso, che 
installano con la pwd di administrator bianca e col divieto di fare 
windows update.
Anche qui la posizione e' "questi impianti li fanno solo loro, la loro 
applicazione non si puo' modificare, arrangiati".
Nota: un grosso casino dovuto a questa implementazione della "sicurezza" 
c'e' gia' stato sotto Natale a causa di un worm molto popolare. Ma 
sperare che la lezione serva e che ci sia memoria e' illusione.
Si sa che molti fornitori vengono, fanno vedere che l'app funziona, 
prendono i soldi e scappano prima che saltino fuori i problemi di 
sicurezza. Oppure chiedono bei $ per le "modifiche richieste dal cliente"
--
tinto

 sicurezza. Oppure chiedono bei $ per le "modifiche richieste dal cliente"
Solo perch� trovano clienti fessi e/o incompetenti che accettano supinamente 
qualsiasi porcheria. Loro fanno solo il proprio interesse.


 potenziali minacce.
in teoria si', basta fare una VLAN dove mettere le macchine diciamo poco 
curate dal punto di vista della sicurezza. In pratica vieni a sapere che 
  in altre sedi lontane da te centinaia di km c'e' qualcuno che "la 
nostra rete e quella del cliente hanno indirizzamenti diversi? no 
problema, mettiamo una seconda scheda di rete su questo pc -impestato 
col worm- ed e' fatta".
Quindi tornando a bomba, meglio la black box che la porta spalancata...
--
tinto

 Quindi tornando a bomba, meglio la black box che la porta spalancata...
Se, a quanto sembra, sei pure pigro a fare il tuo lavoro (Segnalare
software che mettono a rischio la sicurezza della infrastruttura di rete
della tua azienda), beh... Allora usa la black box.
Hai d'altro canto come risultato (tu ed il tuo capo) quello che ti meriti
per l'attenzione che dimostri in questo thread:
- un software scritto con i piedi
- buchi nell'infrastruttura (non una porta spalancata ma appena accostata
con la chiave nella serratura)
- problemi che prima o poi vengono al pettine.
Max


 Quindi tornando a bomba, meglio la black box che la porta spalancata...
Concordo decisamente con CtRiX... la black box � una porta socchiusa con 
dentro la chiave; � un metodo comodo e rapido per tentare di scaricare 
responsabilit�.
Mi pare come il caso recente di un'azienda che ha attaccato un firewall alla 
rete senza collegarci il router Telecom che invece continuava ad essere 
connesso direttamente alla LAN ed usato come default gateway. Alla domanda 
del perch� di quella cosa assurda la risposta � stata che "per la legge 
dovevamo mettere un firewall (cosa peraltro falsa), quindi lo abbiamo 
attaccato l�."


 della tua azienda)
e' sempre un po' frettoloso dare giudizi su realta' e persone che non si 
conoscono :)
ti garantisco che quando sei ultimo arrivato in un contesto gia' 
cristallizzato su una mentalita' "quando funziona non toccarlo" perche' 
derivante da un mondo di reti senza connessioni con l'esterno e' dura.
La "pigrizia" e' semplicemente un autodifesa verso un modus dirigendi in 
cui se vai a sollevare un problema ne vieni investito con sorriso 
sardonico mentre ne viene sollevato un collega che, spesso, guadagna 
pure un bel po' piu' di te. Dopo qualche anno di fregature incominci a 
pensare che e' meglio farsi i fatti propri.
E, comunque, la realta' che descrivo non e' cosi' cattiva, anzi e' 
idilliaca se confrontata con quelle vissute in passato, con le server 
farm nei cessi (puzza di m inclusa)...
--
tinto

 essere connesso direttamente alla LAN ed usato come default gateway. 
per fortuna almeno su certe cose ci ho messo mano dall'inizio e non 
siamo a quel livello. Pero' immagina di avere qualche centinaio di PC 
Windows sparsi per varie sedi geografiche dove non hai il controllo di 
accesso, nel senso che arriva l'amico che stacca un pc e attacca il suo 
portatile copiando la configurazione di rete: in questo contesto avere 
una "black box" che fa passare il traffico verso internet (anche HTTPS) 
solo se proviene da un PC che e' nel dominio (quindi con il sistema e 
antivirus aggiornati) e con utente valido loggato qualcosina fa... o mi 
sbaglio? ;)
--
tinto

 conoscono :)
Per carit�! nessun giudizio. 
Volevo solo constatare che con quell'atteggiamento � normale avere effetti
potenzialmente devastanti.
E poi col tuo atteggiamento, permettimelo, ti perdi il gusto di poter dire:
"te l'avevo detto, IO!!!"


 "te l'avevo detto, IO!!!"
:-)
--
tinto

 dati personali e/o sensibili l'amministratore delegato rischia il gabbio.
E credi che serva a qualcosa? BWAHAHAHAHAH!!!
Conosco amministratori delegati che affermano che il corso sulla
normativa 626 (e quindi, implicitamente, la normativa 626 stessa) sia
solo una inutile perdita di tempo...
Enrico

 solo una inutile perdita di tempo...
Vero... però te lo fanno fare ugualmente.


 Vero... però te lo fanno fare ugualmente.
Vero cosa, che sia una perdita di tempo? Flavio, spero che tu stia
scherzando (a meno che non abbia capito male, in tal caso come non detto)
Enrico

 Vero cosa, che sia una perdita di tempo?
Vero che certi AD la pensano così :-)


 solo una inutile perdita di tempo...
Se fossimo in un paese vero, quella gente andrebbe in galera senza
passare dal via.

 solo una inutile perdita di tempo...
Certo, tanto poi non la applicano, a che serve fare il corso?
"In galeraaa!" (Giorgio Bracardi)

 passare dal via.
Devo pero` dire che, a discolpa del tizio, la 626 la applica sia
implicitamente (e.g. le sedie ergonomiche), sia esplicitamente (e.g. i
tesserini richiesti dalla normativa)
Enrico

 tesserini richiesti dalla normativa)
Giusto per fare il puntiglioso, il D.Lgs. 626/94 non � pi� in vigore.

 Giusto per fare il puntiglioso, il D.Lgs. 626/94 non è più in vigore.
Si, lo so, ora si chiama legge 80 o qualcosa di simile, ma non ha lo
stesso appeal del vecchio nome :)
Enrico

 capire; tantomeno gli sviluppatori...
Ma non c'è soluzione, o chiudi la '''porta''', o se la porta è accessibile
da tutti allora deve essere quello che c'è dietro alla '''porta''' ad
essere sicuro, non c'è uno straccio di altra soluzione che abbia un effetto
un minimo concreto.