Sentinet³ come cybersecurity tool

Sentinet³ è un prodotto di Unified Proactive Monitoring nato per assicurare alle organizzazioni uno strumento in grado di monitorare rete, apparati, host, servizi ed applicativi. Tra le peculiarità che ne hanno determinato il successo vi sono la facilità ed intuitività nell’utilizzo, la proattività (ovvero la capacità di eseguire azioni al verificarsi di eventi), e infine la trasversalità: la capacità di operare su qualsiasi piattaforma hardware o software, attuando un cosiddetto monitoraggio cross-platform. Una delle funzioni meno conosciute di questo sistema è la possibilità di essere utilizzato come strumento per la cybersecurity. Per cybersecurity si intendono quell’insieme di tecniche che consentono alle organizzazioni di minimizzare il numero di attacchi con esito positivo al proprio sistema informativo: questo permette la protezione delle informazioni da furto, distruzione, corruzione consentendo nel contempo che siano accessibili ai destinatari.

La cybersecurity ha il principale obiettivo di ridurre le vulnerabilità di un sistema, ovvero tutti i difetti o debolezze che possono essere sfruttate per violarne la politica di sicurezza. Per ridurre le vulnerabilità si eseguono tecniche definite di hardening . Queste prevedono due passaggi:

1. riduzione della superficie di attacco , ovvero rimuovere software, disabilitare i servizi, moduli kernel e porte non necessarie: il concetto alla base di questa operazione è che ogni software porta con sé delle vulnerabilità intrinseche, ogni porta aperta può essere soggetta ad attacco quindi se non servono devono essere disabilitati;

2. miglioramento della robustezza dei sistemi ovvero, abilitando policy di complessità delle password, aggiornando le patch di sicurezza, rimuovendo tutti gli utenti non necessari, riducendo i diritti degli utenti a quelli strettamente indispensabili.

Solo dopo aver eseguito l’hardening dei sistemi al tempo T0 abbiamo la certezza dello stato della nostra infrastruttura. Al tempo T0+1 , tuttavia, la nostra infrastruttura potrebbe essere mutata: si potrebbero essere verificati eventi come l’installazione di nuovo software, la creazione di nuovi utenti, la migrazione di utenti nel gruppo amministratori, o la mancata installazione di una nuova patch di sicurezza. Questo indica che il processo di riduzione delle vulnerabilità deve essere un processo continuo e non può essere eseguito unicamente al tempo T0.

Una volta eseguito l’hardening dell’infrastruttura, bisogna iniziare a controllare che la fotografia al tempo T0 della stessa non vari. La prima cosa da fare è monitorare costantemente che la superficie di attacco non si estenda.
Questo avviene quando si verificano i seguenti eventi: quando si installa nuovo software, poiché come specificato in precedenza ogni software ha delle vulnerabilità intrinseche che possono essere più o meno pericolose; quando si attivano nuovi servizi, o quando si aprono nuove porte TCP e UDP. Sentinet³ dispone di check che permettono di controllare che non vari la configurazione software di un server (ogniqualvolta un nuovo software viene installato questo viene segnalato), controllare che non vi sia nessuna variazione sui servizi attivi (ogniqualvolta un nuovo servizio viene avviato questo viene segnalato), e infine controllare che non vengano aperte nuove porte di rete. Naturalmente il vantaggio apportato da questo prodotto è che il controllo sarà continuo e duraturo.

Una volta controllata l’evoluzione della superficie di attacco, bisogna poi controllare che i sistemi mantengano la stessa robustezza raggiunta dopo le operazioni di hardening. Le operazioni da eseguire ciclicamente sono fondamentalmente due. Prima di tutto l’ IT security patch monitoring , che permette di controllare che i sistemi siano aggiornati alle ultime patch di sicurezza disponibili: questo è possibile con l’ausilio di check di patch monitoring operanti su server Windows, Debian, Ubuntu, Red Hat, Aix e Solaris, su router e switch della famiglia Cisco e sui principali antivirus in commercio. In secondo luogo la User policy monitoring , in cui Sentinet³ verifica l’abilitazione delle policy di sicurezza delle password, il controllo sull’inserimento di nuovi utenti, il controllo sul passaggio di utenti nel gruppo amministratori.

In una infrastruttura che si rispetti, e che mostri la dovuta attenzione alla sicurezza, sono presenti inoltre sistemi come Firewall, IDS, IPS, SIEM, Antivirus. Tutti questi sistemi hanno il compito di aumentare la sicurezza dell’infrastruttura e ridurre le possibilità di attacchi con esito positivo: occorre dunque anche verificare e garantire la loro operatività. Sentinet³ è in grado mettere sotto monitoraggio questi sistemi ed avvertire prontamente se uno di questi incontra dei problemi.

Il prodotto è in grado di determinare se l’infrastruttura IT è sottoposta ai seguenti tipi di attacco:

– DNS Redirection : in questo caso viene monitorato il database del DNS per controllare se ci sono tentativi di “avvelenamento”; nel caso in cui il database del DNS venga modificato, Sentinet³ avviserà prontamente gli amministratori di sistema;
– Web site defacement : questo è l’attacco classico portato per minare la reputazione di una organizzazione e consiste nel modificare una home page sostituendola con un’altra che ha l’obiettivo di lanciare un messaggio denigratorio. Grazie a Sentinet³ è possibile monitorare costantemente l’home page di un sito per controllare se la stessa viene modificata, e nel caso in cui questo dovesse avvenire Sentinet³ invia un messaggio agli amministratori e può eseguire azioni proattive come mettere il sito in manutenzione o sostituire l’homepage incriminata;
– Denial of Service : questo attacco ha l’obiettivo di “far piantare un servizio”. In pratica aumentano enormemente le richieste di questo servizio e ciò ha come conseguenza che il servizio o addirittura il server si blocchino: grazie alla capacità di eseguire statistiche sulla rete con il modulo Network Monitoring , Sentinet³ può vedere se ci sono picchi di traffico da o verso alcuni indirizzi IP ed avvisare di conseguenza.

Sentinet³, infine, può fare molto altro. Grazie a questo Security Monitoring System è possibile controllare sistemi di protezione perimetrale come telecamere IP, sensori di apertura e chiusura porte, sensori di temperatura, luminosità o allagamento.