Re: configurazione di rete x infrastruttura VA?
ED <[email protected]> Thu, 20 Jun 2019 19:23:28 +0200
| Newsgroups | gmane.comp.security.italian |
|---|---|
| Message-ID | <[email protected]> |
This is a multi-part message in MIME format. --------------2818E9B530EB27DDE53CA08B Content-Type: text/plain; charset=utf-8; format=flowed Content-Transfer-Encoding: 8bit Ciao Paolo, grazie per la risposta. Naturalmente non uso il VA come parte del normale processo operativo di patch management. Da un lato lo uso per il monitoraggio della qualità del relativo processo, dall'altro come verifica aggiuntiva e immediata, specialmente su richiesta nel caso escano vulnerabilità o patch critiche. Per questo mi servono le scansioni con credenziali o gli agent, altrimenti certi problemi si vedono solo quando è troppo tardi. Poi con la dovuta calma si fanno comunque i port scan. Il mio punto 5 si riferiva a monitorare l'operato del personale di sicurezza con alti privilegi. "Chi controlla il controllore?" L'amministratore del software di VA e dei livelli sovrastanti (server, hypervisor) ha accesso diretto o indiretto ai certificati di autenticazione per tutti i server aziendali. Idem per un malware che attacca con successo l'hypervisor o una VM di scansione che risiede sullo stesso server fisico. Per questo chiedevo se fosse il caso di separare completamente l'infrastruttura di VA da quella operativa. ciao -- ED Il 20/06/2019 09:24, Paolo Perego ha scritto: > Ciao ED, ci stavo proprio pensando oggi e credo che ne parlerò tra > qualche giorno sul blog. Innanzitutto mi chiederei "perché sto > mettendo in piedi un'infrastruttura per il VA e cosa mi aspetto dai > risultati". Purtroppo ho visto troppe volte manager affascinati dal > falso senso di sicurezza che un report di Nexpose dava loro. > > Anyway, ti racconto come la implemento io di solito. > Architettura distribuita, quindi una console e tanti engine di > scansione. No roba centralizzata in cloud. > Gli engine di scansione li ho messi in una posizione di rete che > permettesse loro di essere "vicino" alle reti principali che avevo > precedentemente diviso per regione geografica. (questo dipende > ovviamente dalla tua topologia). > > Io dopo anni che lo uso sto pensando di togliere la possibilità di > fare scansioni autenticate. Troppo rumore di fondo e mi perdo il punto > di vista reale di un attaccante. A livello di paranoia, direi che le > linee guida di hardening che avete già in piedi bastano e avanzano. > > Ti consiglio di lasciar perdere la scansione automatizzata di > applicazioni web. Non ti da alcun valore aggiunto e i crawler dei vari > Nexpose, Nessus sono a dir poco invasivi e ne ho visti parecchi di > tomcat e apache cadere. > La 5) non l'ho capita. Chi dovresti monitorare? > > Cosa importante da considerare. Avere bene in chiaro perché pensi ti > serva un vulnerability assessment. Se è per dare un po' di paper al > tuo audit interno allora ok, dagli tutti i risultati del tuo tool e > lascia che impazziscano. Se vuoi che un VA guidi il tuo patch > management, sinceramente te lo sconsiglio. VA e applicazione delle > patch di security meglio vadano per i fatti loro, se ti interessa ne > ho scritto proprio ieri di patching ordinario e straordinario: > https://codiceinsicuro.it/blog/patch-ordinario-e-patch-straordinario/. > Se invece pensi che il VA ti serve per capire la tua postura, allora > "si e no". Il numero di falsi positivi, soprattutto in una scansione > autenticata, è enorme e solo un'attività mirata di penetration test > può darti un risultato attendibile. > > Così, i miei €0,02 > Ciao > Paolo > > Il giorno gio 20 giu 2019 alle ore 07:51 ED <[email protected] > <mailto:[email protected]>> ha scritto: > > Ciao, vorrei per piacere un consiglio da chi ha esperienza nel > monitoraggio di vulnerabilità in reti grandi e incasinate... > > Poniamo che dobbiate mettere in piedi una infrastruttura di VA in una > grossa rete che comprende più siti fisici, alcune DMZ e qualche > centinaio di sotto-reti più o meno segregate fra loro contenenti > alcune > migliaia di server, workstation e appliance assortite con livelli e > requisiti di sicurezza anche molto diversi fra loro. > > Poniamo che il software di VA sia composto da un nodo centrale per > l'amministrazione che controlla un numero arbitrario di nodi > periferici > che fanno le scansioni ("a la OpenVAS"). Deve essere usato da un > numero > arbitrario di utenti con diversi ruoli da diversi punti della rete. > > Domande: > > 1) Dove mettereste i nodi periferici per le scansioni? Uno in ogni > rete > principale da scansionare, o uno per sito fisico aprendo i > firewall, o > centralmente aprendo VPN alla bisogna, o come altro? > > 2) Stessa domanda ipotizzando che il software di scansione non sia > diviso in nodo centrale e nodi periferici. > > 3) Quanto essere paranoici riguardo all'amministrazione > dell'infrastruttura di VA, considerando che sia il nodo centrale che > quelli periferici contengono (temporaneamente o permanentemente) > credenziali amministrative dei server da scansionare? Usereste la > stessa > infrastruttura di virtualizzazione, gli stessi server fisici, le > stesse > workstation amministrative e lo stesso personale del resto > dell'azienda? > > 4) Come ottimizzare le scansioni di siti web e servizi se (per un > motivo > o per l'altro, non sottilizziamo...) i deploy non sono raggruppati in > una rete dedicata? > > 5) Vale la pena limitare i privilegi degli operatori di sicurezza per > monitorarne e limitarne l'operato? > > 6) Altre cose importanti da considerare? > > Al momento ho una "leggera" divergenza di opinioni con il mio > reparto di > rete e spero che questa lista possa aiutarmi a risolverla. > > Grazie, saluti > > -- > ED > > ________________________________________________________ > http://www.sikurezza.org - Italian Security Mailing List > > > > -- > $ cd /pub > $ more beer > > I pirati della sicurezza applicativa: https://codiceinsicuro.it --------------2818E9B530EB27DDE53CA08B Content-Type: text/html; charset=utf-8 Content-Transfer-Encoding: 8bit <html> <head> <meta http-equiv="Content-Type" content="text/html; charset=UTF-8"> </head> <body text="#000000" bgcolor="#FFFFFF"> <p>Ciao Paolo, grazie per la risposta.<br> </p> <p>Naturalmente non uso il VA come parte del normale processo operativo di patch management. Da un lato lo uso per il monitoraggio della qualità del relativo processo, dall'altro come verifica aggiuntiva e immediata, specialmente su richiesta nel caso escano vulnerabilità o patch critiche. Per questo mi servono le scansioni con credenziali o gli agent, altrimenti certi problemi si vedono solo quando è troppo tardi. Poi con la dovuta calma si fanno comunque i port scan.<br> </p> <p>Il mio punto 5 si riferiva a monitorare l'operato del personale di sicurezza con alti privilegi. "Chi controlla il controllore?" L'amministratore del software di VA e dei livelli sovrastanti (server, hypervisor) ha accesso diretto o indiretto ai certificati di autenticazione per tutti i server aziendali. Idem per un malware che attacca con successo l'hypervisor o una VM di scansione che risiede sullo stesso server fisico. Per questo chiedevo se fosse il caso di separare completamente l'infrastruttura di VA da quella operativa.<br> </p> <p>ciao</p> <p>-- <br> ED<br> </p> <br> <div class="moz-cite-prefix">Il 20/06/2019 09:24, Paolo Perego ha scritto:<br> </div> <blockquote type="cite" cite="mid:CAFRi_CzdJxi8qSNzaWkOfg2qhHjAPR0c07_rYbqh4PZz_bGc3g@mail.gmail.com"> <meta http-equiv="content-type" content="text/html; charset=UTF-8"> <div dir="ltr"> <div dir="ltr"> <div class="gmail_default" style="font-family:trebuchet ms,sans-serif">Ciao ED, ci stavo proprio pensando oggi e credo che ne parlerò tra qualche giorno sul blog. Innanzitutto mi chiederei "perché sto mettendo in piedi un'infrastruttura per il VA e cosa mi aspetto dai risultati". Purtroppo ho visto troppe volte manager affascinati dal falso senso di sicurezza che un report di Nexpose dava loro.</div> <div class="gmail_default" style="font-family:trebuchet ms,sans-serif"><br> </div> <div class="gmail_default" style="font-family:trebuchet ms,sans-serif">Anyway, ti racconto come la implemento io di solito.</div> <div class="gmail_default" style="font-family:trebuchet ms,sans-serif">Architettura distribuita, quindi una console e tanti engine di scansione. No roba centralizzata in cloud.</div> <div class="gmail_default" style="font-family:trebuchet ms,sans-serif">Gli engine di scansione li ho messi in una posizione di rete che permettesse loro di essere "vicino" alle reti principali che avevo precedentemente diviso per regione geografica. (questo dipende ovviamente dalla tua topologia).</div> <div class="gmail_default" style="font-family:trebuchet ms,sans-serif"><br> </div> <div class="gmail_default" style="font-family:trebuchet ms,sans-serif">Io dopo anni che lo uso sto pensando di togliere la possibilità di fare scansioni autenticate. Troppo rumore di fondo e mi perdo il punto di vista reale di un attaccante. A livello di paranoia, direi che le linee guida di hardening che avete già in piedi bastano e avanzano.</div> <div class="gmail_default" style="font-family:trebuchet ms,sans-serif"><br> </div> <div class="gmail_default" style="font-family:trebuchet ms,sans-serif">Ti consiglio di lasciar perdere la scansione automatizzata di applicazioni web. Non ti da alcun valore aggiunto e i crawler dei vari Nexpose, Nessus sono a dir poco invasivi e ne ho visti parecchi di tomcat e apache cadere.</div> <div class="gmail_default" style="font-family:trebuchet ms,sans-serif">La 5) non l'ho capita. Chi dovresti monitorare?</div> <div class="gmail_default" style="font-family:trebuchet ms,sans-serif"><br> </div> <div class="gmail_default" style="font-family:trebuchet ms,sans-serif">Cosa importante da considerare. Avere bene in chiaro perché pensi ti serva un vulnerability assessment. Se è per dare un po' di paper al tuo audit interno allora ok, dagli tutti i risultati del tuo tool e lascia che impazziscano. Se vuoi che un VA guidi il tuo patch management, sinceramente te lo sconsiglio. VA e applicazione delle patch di security meglio vadano per i fatti loro, se ti interessa ne ho scritto proprio ieri di patching ordinario e straordinario: <a href="https://codiceinsicuro.it/blog/patch-ordinario-e-patch-straordinario/" style="font-family:Arial,Helvetica,sans-serif" moz-do-not-send="true">https://codiceinsicuro.it/blog/patch-ordinario-e-patch-straordinario/</a>.</div> <div class="gmail_default" style="font-family:trebuchet ms,sans-serif">Se invece pensi che il VA ti serve per capire la tua postura, allora "si e no". Il numero di falsi positivi, soprattutto in una scansione autenticata, è enorme e solo un'attività mirata di penetration test può darti un risultato attendibile.</div> <div class="gmail_default" style="font-family:trebuchet ms,sans-serif"><br> </div> <div class="gmail_default" style="font-family:trebuchet ms,sans-serif">Così, i miei €0,02</div> <div class="gmail_default" style="font-family:trebuchet ms,sans-serif">Ciao</div> <div class="gmail_default" style="font-family:trebuchet ms,sans-serif">Paolo</div> </div> <br> <div class="gmail_quote"> <div dir="ltr" class="gmail_attr">Il giorno gio 20 giu 2019 alle ore 07:51 ED <<a href="mailto:[email protected]" moz-do-not-send="true">[email protected]</a>> ha scritto:<br> </div> <blockquote class="gmail_quote" style="margin:0px 0px 0px 0.8ex;border-left:1px solid rgb(204,204,204);padding-left:1ex">Ciao, vorrei per piacere un consiglio da chi ha esperienza nel <br> monitoraggio di vulnerabilità in reti grandi e incasinate...<br> <br> Poniamo che dobbiate mettere in piedi una infrastruttura di VA in una <br> grossa rete che comprende più siti fisici, alcune DMZ e qualche <br> centinaio di sotto-reti più o meno segregate fra loro contenenti alcune <br> migliaia di server, workstation e appliance assortite con livelli e <br> requisiti di sicurezza anche molto diversi fra loro.<br> <br> Poniamo che il software di VA sia composto da un nodo centrale per <br> l'amministrazione che controlla un numero arbitrario di nodi periferici <br> che fanno le scansioni ("a la OpenVAS"). Deve essere usato da un numero <br> arbitrario di utenti con diversi ruoli da diversi punti della rete.<br> <br> Domande:<br> <br> 1) Dove mettereste i nodi periferici per le scansioni? Uno in ogni rete <br> principale da scansionare, o uno per sito fisico aprendo i firewall, o <br> centralmente aprendo VPN alla bisogna, o come altro?<br> <br> 2) Stessa domanda ipotizzando che il software di scansione non sia <br> diviso in nodo centrale e nodi periferici.<br> <br> 3) Quanto essere paranoici riguardo all'amministrazione <br> dell'infrastruttura di VA, considerando che sia il nodo centrale che <br> quelli periferici contengono (temporaneamente o permanentemente) <br> credenziali amministrative dei server da scansionare? Usereste la stessa <br> infrastruttura di virtualizzazione, gli stessi server fisici, le stesse <br> workstation amministrative e lo stesso personale del resto dell'azienda?<br> <br> 4) Come ottimizzare le scansioni di siti web e servizi se (per un motivo <br> o per l'altro, non sottilizziamo...) i deploy non sono raggruppati in <br> una rete dedicata?<br> <br> 5) Vale la pena limitare i privilegi degli operatori di sicurezza per <br> monitorarne e limitarne l'operato?<br> <br> 6) Altre cose importanti da considerare?<br> <br> Al momento ho una "leggera" divergenza di opinioni con il mio reparto di <br> rete e spero che questa lista possa aiutarmi a risolverla.<br> <br> Grazie, saluti<br> <br> -- <br> ED<br> <br> ________________________________________________________<br> <a href="http://www.sikurezza.org" rel="noreferrer" target="_blank" moz-do-not-send="true">http://www.sikurezza.org</a> - Italian Security Mailing List<br> <br> </blockquote> </div> <br clear="all"> <div><br> </div> -- <br> <div dir="ltr" class="gmail_signature"> <div dir="ltr"> <div><font face="trebuchet ms, sans-serif">$ cd /pub<br> $ more beer<br> <br> I pirati della sicurezza applicativa: <a href="https://codiceinsicuro.it" target="_blank" moz-do-not-send="true">https://codiceinsicuro.it</a></font></div> </div> </div> </div> </blockquote> </body> </html> --------------2818E9B530EB27DDE53CA08B-- ________________________________________________________ http://www.sikurezza.org - Italian Security Mailing List