Com protegir el teu equip d'atacs

Molt bones amb tothom, abans d'entrar a l'hardening del teu equip, vull explicar-los que l'instal·lador que estic desenvolupant per Gentoo ja està en la seva fase pre-alpha 😀 això vol dir que el prototip és prou robust com per a poder ser provat per altres usuaris, però a el mateix temps encara falta molt per recórrer, i el feedback d'aquestes etapes (pre-alpha, alfa, beta) ajudarà a definir trets importants sobre el procés 🙂 per als interessats ...

https://github.com/ChrisADR/installer

PS. encara tinc la versió exclusivament en anglès, però espero que per al beta ja tingui la seva traducció a espanyol també (estic aprenent això de les traduccions en temps d'execució en python, així que encara hi ha molt per descobrir)

Enduriment

Quan parlem de enduriment, Ens referim a una gran varietat d'accions o procediments que dificulten l'accés a un sistema informàtic, o xarxa de sistemes. Precisament per això és que és un tema vast i ple de matisos i detalls. En aquest article vaig a llistar algunes de les coses més importants o recomanables per tenir en compte a l'hora de protegir un sistema, intentaré anar d'allò més crític ben bé crític, però sense aprofundir molt en el tema ja que cada un d'aquests punts seria motiu d'un article propi.

accés físic

Aquest és sens dubte el primer i més important problema dels equips, ja que si l'atacant està ben comunicat físic a l'equip, ja pot explicar-se com un equip perdut. Això és veritat tant en grans centres de data com en portàtils dins d'una empresa. Una de les principals mesures de protecció per a aquest problema són les claus a nivell de BIOS, per a tots aquells als quals soni nou això, és possible posar una clau a l'accés físic de la BIOS, d'aquesta manera si algú vol modificar els paràmetres de inici de sessió i arrencar l'equip des d'un sistema live, no serà feina senzilla.

Ara bé, això és una cosa bàsica i certament funciona si és realment requerit, jo he estat en diverses empreses en què no importa això, perquè creuen que el «guàrdia» de seguretat de la porta és més que suficient per poder evitar l'accés físic . Però anem a un punt una mica més avançat.

luxe

Suposem per un segon que un «atacant» ja ha aconseguit accés físic a l'equip, el següent pas és xifrar cada disc dur i partició existent. LUKS (Linux Unified Key Setup) és una especificació de xifrat, entre altres coses LUKS permet xifrar amb clau una partició, d'aquesta manera, a l'iniciar el sistema si no es coneix la clau, la partició no pot ser muntada ni llegida.

Paranoia

Certament hi ha gent que necessita un nivell «màxim» de seguretat, i això porta a protegir fins l'aspecte més mínim de sistema, doncs bé, aquest aspecte arriba a la seva cúspide en el nucli. El nucli de linux és la manera en què el teu programari va a interactuar amb el maquinari, si el teu evites que el teu programari «vegi» a el maquinari, aquest no podrà fer mal a l'equip. Per posar un exemple, tots coneixem el «perillosos» que són els USB amb vírus quan parlem de Windows, ja que certament els usb poden contenir codi en linux que podria o no ser perjudicial per a un sistema, si fem que el nucli només reconegui el tipus de usb (firmware) que desitgem, qualsevol altre tipus d'USB simplement seria obviat pel nostre equip, alguna cosa certament una mica extrem, però podria servir depenent de les circumstàncies.

Serveis

Quan parlem de serveis, la primera paraula que em ve al cap és «supervisió», i això és una cosa bastant important, ja que una de les primeres coses que fa un atacant a l'entrar a un sistema és mantenir la connexió. Realitzar anàlisis periòdiques de les connexions entrants i sobretot sortints és una cosa molt important en un sistema.

iptables

Ara bé, tots hem sentit sobre iptables, és una eina que permet generar regles d'ingrés i sortida de data a nivell de nucli, això és certament útil, però també és una arma de doble tall. Moltes persones creuen que per tenir el «tallafocs» ja estan lliures de qualsevol tipus d'ingrés o sortida de el sistema, però res més allunyat de la realitat, això només pot servir d'efecte placebo en molts casos. És conegut que els tallafocs funcionen a base de regles, i aquestes certament poden ser evitades o enganyades per permetre transportar data per ports i serveis pels quals les regles considerarien que és una cosa «permès», només és qüestió de creativitat 🙂

Estabilitat vs rolling-release

Ara aquest és un punt bastant polèmic en molts llocs o situacions, però permetin-me explicar el meu punt de vista. Com a membre d'un equip de seguretat que vetlla per molts dels problemes de la branca estable de la nostra distribució, estic a la diana de moltes, gairebé totes les vulnerabilitats existents en els equips Gentoo dels nostres usuaris. Ara bé, distribucions com Debian, RedHat, SUSE, Ubuntu i moltes altres passen pel mateix, i els seus temps de reacció poden variar depenent de moltes circumstàncies.

Anem a un exemple clar, segur tots han sentit a parlar de Meltdown, Spectre i tot un seguit de notícies que han volat per internet en aquests dies, doncs bé, la branca més «rolling-release» de l'nucli ja està parchada, el problema rau en portar aquestes correccions a nuclis anteriors, certament el «backporting» és una feina feixuga i difícil. Ara bé, després d'això, encara han de ser provats pels desenvolupadors de la distribució, i una vegada que s'han completat les proves, recentment estarà a disposició dels usuaris normals. A què vull arribar amb això? A que el model rolling-release ens exigeix ​​conèixer més sobre el sistema i formes de rescatar-si alguna cosa falla, però això és bo, Perquè mantenir la passivitat absoluta en el sistema té diversos efectes negatius tant per a qui l'administra com per als usuaris.

Coneix el teu programari

Aquest és un addicional bastant valuós a l'hora d'administrar, coses tan simples com subscriure a les notícies de l'programari que utilitzes pot ajudar a conèixer per endavant els avisos de seguretat, d'aquesta manera es pot generar un pla de reacció i a el mateix temps veure quant temps pren per a cada distribució resoldre els problemes, sempre és millor proactiu en aquests temes perquè més de l'70% dels atacs a empreses es duen a terme per programari no actualitzat.

Reflexió

Quan la gent parla de hardening, moltes vegades es creu que un equip «protegit» és a prova de tot, i no hi ha res més fals. Com el seu traducció literal ho indica, enduriment implica fer les coses més difícils, NO impossibles ... però moltes vegades molta gent pensa que això comporta màgia fosca i molts trucs com els honeypots ... això és un addicional, però si no es pot amb el més bàsic com mantenir actualitzat un programari o un llenguatge de programació ... no hi ha necessitat de crear xarxes fantasma i equips amb contramesures ... ho dic perquè he vist diverses empreses on pregunten per versions de PHP 4 a 5 (evidentment descontinuadas) ... coses que ara per ara són conegudes per tenir centenars sinó milers de falles de seguretat, però si l'empresa no pot seguir el ritme de la tecnologia, ja que de res serveix que facin la resta.

A més, si tots estem fent servir programari lliure o obert, el temps de reacció per als errors de seguretat sol ser bastant curt, el problema ve quan estem tractant amb programari privatiu, però això ho deixo per a un altre article que segueixo esperant poder escriure aviat.

Moltes gràcies per arribar fins aquí 🙂 salutacions