Newsgroup: it.comp.reti.locali
Titolo: WOL e sicurezza

Una curiosità...
 
Per limitare l'accesso ai dispositivi di backup (NAS) da parte di 
utenti pasticcioni (ed eventuali malware) ho fatto in modo che questi 
si accendano solo di notte, nella finestra temporale necessaria alle 
operazioni. Però, per necessità tecniche, ho abilitato il Wake-on-Lan 
su tali dispositivi.
C'è il rischio che un malware "ben programmato", che attacchi un utente 
durante l'orario lavorativo, possa inviare dei magic packets in 
broadcast e risvegliare tali apparati, pur non conoscendone il MAC 
address?


Piu' che un virus che ti accende gli apparati, starei attento alle 
modalita' di comunicazione tra dispostivi in lan e nas
Come dire, eviterei di rendere visibili volumi del nas al resto della rete
 


Senza il mac address, come lo risvegli?
 
Il WOL viene sparato in broadcast, ma con il mac del destinatario
dentro.
 
-- 
Ci sono 10 tipi di persone al mondo: quelle che capiscono il sistema binario
e quelle che non lo capiscono.



non conoscendo il MAC la vedo dura, anche se un malware potrebbe anche
"sniffare" il traffico di rete e memorizzare i MAC che riceve; il punto
è un altro, ossia il fatto che per fare i backup tu renda i NAS
visibili sulla rete, in tal modo, se uno dei computer dei quali vuoi
fare il backup fosse infettato da ransomware, nel momento in cui tale
computer fosse acceso, insieme al NAS per il backup, avresti un bel
patatrac
 
il discorso è, il backup va fatto utilizzando un sistema che NON dia ai
computers da copiare NESSUNA visibilità dello storage di backup, un
esempio di tale sistema è questo
 
https://www.bareos.com/
 
 
https://docs.bareos.org/IntroductionAndTutorial/WhatIsBareos.html
 
 
in breve, sui computer di cui fare backup installi un "agent", mentre
su un altro computer installi il cosiddetto "orchestrator" ossia il
servizio che gestisce i backup e va a scrivere sullo storage, questo
può essere su NAS o altro; in tal modo l'orchestrator comunica con i
computer dei quali fare backup ESCLUSIVAMENTE (rileggi bene) tramite
l'agent, quest'ultimo si occupa di leggere i dati da copiare e di
inviarli all'orchestrator che, a sua volta, li memorizza sullo storage,
questo significa che un ransomware NON sarà in grado di raggiungere
l'orchestrator o lo storage
 
chiaro ora ?
 
 

RobertoA scriveva il 22/11/2022 :

Quello è già così, ma visto che circolano ransomware che riescono a 
forzare i db dei più comuni software di backup per risalire alle 
password degli apparati, una linea di difesa in più non fa male

 Ma perchè ti complichi la vita in questo modo? 
 
Non è una grossa complicazione schedulare l'accensione di un NAS solo 
nelle fasce orarie necessarie.
Il WOL serve a me in caso di necessità. Non sempre posso chiedere al 
cliente di andare lì fisicamente ad accendere il NAS, anche perché 
spesso devo agire al di fuori degli orari d'ufficio

 dentro.
 
Questo volevo sapere, grazie.
 
Certo, un trojan abbastanza sgamato potrebbe estrapolare tutti i MAC 
dalla tabella ARP del PC infettato e mandare WOL a tutta la lista, però 
la vedo un po' più complicata (anche perché difficilmente i pc degli 
impiegati hanno pingato il NAS dei backup)

Scriveva ObiWan mercoledì, 23/11/2022:

Si chiarissimo, infatti dove posso creo 2 VLAN separate, e i backup 
vengono gestiti da apparati che non sono materialmente raggiungibili 
dai PC.
Purtroppo questo non è sempre possibile. Diciamo che il fatto che il 
NAS di backup sia acceso solo in orari in cui, almeno teoricamente, gli 
altri PC sono spenti, è una sicurezza in più rispetto al tenerlo acceso 
sempre

 sono spenti, è una sicurezza in più rispetto al tenerlo acceso sempre
 
p.s. ovviamente mi riferisco al backup di un apparato centralizzato, 
non dei singoli PC (di cui non ho intenzione di fare backup se non in 
casi molto particolari).
Di solito dai miei clienti installo un host che monta VMWare e i server 
sono virtualizzati. Il backup viene eseguito da una VM dedicata che 
monta Veeam. Se il sistema HOST - VM VEEAM - NAS è su una rete separata 
da quella di tutti gli altri, dovrei essere ragionevolmente tranquillo

 ragionevolmente tranquillo
 
Si ok, ma supponi per un momento che in qualche modo su quell'apparato
arrivi un ransomware, nel momento in cui metti in rete il NAS e lo
rendi visibile all'apparato di cui fare il backup... BOOM :P ossia, il
discorso di tenere i NAS spenti, secondo me non serve a niente dal
punto di vista della sicurezza/integrità dei backup
 
 
 
 
 

Dopo dura riflessione, ObiWan ha scritto :

Forse non mi sono spiegato bene. Non faccio vedere il NAS ai pc/server 
da backuppare, ma solo al PC che si occupa di eseguire il backup delle 
VM.
Questo PC, il NAS e l'HOST sono nella subnet 192.168.10.x (chiamiamola 
rete "mantainence")
Tutti gli altri PC e le VM sono nella subnet 192.168.1.x (rete 
"produzione")
Difficile che arrivi un ransomware su un pc che non usa nessuno, che 
non ha mail e che non è raggiungibile dal resto della rete.
Se mi sfugge qualcosa, sono aperto a suggerimenti

 Che non è un bene eh....
 
Ok, ma ogni tanto è necessario. Tanti lavori di manutenzione e 
controllo non possono essere fatti mentre la gente lavora. Non posso 
far riavviare un server o installare degli aggiornamenti di giorno.

 
https://is.gd/CcaVoG
 
 
già, usa appunto l'agent (come BareOS ed altri) e quest'ultimo,
volendo, nel caso di sistemi windows in AD, può essere installato
automaticamente sui vari sistemi utilizzando una GPO dato che il
pacchetto di installazione è in formato "msi"
 

 Basta guardare sotto "package center". 
 
beh, se è per quello, anche BareOS ha due versioni
 
https://www.bareos.com/download/
 
 
la "community" che è totalmente gratuita ma ha solo il supporto tramite
la comunità degli utilizzatori/sviluppatori e la commerciale che
include supporto dedicato, aggiornamenti "automatici" etc... non dico
che Synology sia male, solo che se uno volesse mettere in piedi un
sistema di backup usando qualsiasi altro hardware ... :)
 
 

 Questo manco lo considero. I nas più inutili della terra.
 
Eppure fino a qualche tempo fa avevano una buona reputazione. Non ne ho 
molti in giro, ma quei pochi finora non mi hanno dato problemi

 E a quanto sembra non son l'unico ad interpretare allo stesso modo :-] 
 
No, ALT, il "film" te lo sei fatto tu, dando per scontate tante cose.
Io avevo chiesto un'informazione su un argomento generale e sono stato 
attaccato come se avessi chiesto se si può mettere in DMZ un File 
Server con permessi a "everyone"

 se si può mettere in DMZ un File Server con permessi a "everyone"
perchè? non si puo?

 molti in giro, ma quei pochi finora non mi hanno dato problemi
 
ce l'hanno anche adesso la buona reputazione.
 
 
 
-- 
MirkoB.   
ne...@bsi-net.it
 
Motoretta BMW R1200R Lightgrey
 
L'indirizzo ema@il non č da considerarsi pubblico,
ma utilizzabile solo per temi inerenti il NG corrente

 perchè? non si puo?
 
;-P

 ce l'hanno anche adesso la buona reputazione.
 
Ah, allora non me l'ero immaginato.
Certo, a livello di applicazioni software Synology è più completo (una 
su tutte, l'app per eseguire del tutto gratuitamente una copia locale 
dei propri account Microsoft 365 o Google, anche se solo con i NAS 
della famiglia "Plus")

della famiglia "Plus")
 
Qualcuno ha provato questa funzionalitŕ?


 Qualcuno ha provato questa funzionalità?
 
Sì, da diversi clienti che hanno la posta con Microsoft 365, per 
prevenire cose tipo (esperienza personale):
 
cliente - Ho cancellato per errore un'intera cartella e non la trovo 
più
 
io - Ok, quando è successo? Proviamo a recuperarla
 
cliente - Mah... circa due mesi fa
 
io -  8-O ... E chiamarmi prima, no?