<chapt id="after-compromise">Dopo la compromissione (reazione agli incidenti)




<sect>Come comportarsi, in generale

<p>Se si è fisicamente presenti durante l'attacco, la prima risposta 
dovrebbe essere rimuovere la macchina dalla rete, estraendo la 
scheda di rete (sempre che ciò non danneggi transazioni commerciali
in atto). Disabilitare la rete a basso livello è l'unico vero modo 
di allontanare l'attaccante dalla postazione presa di mira (saggio 
consiglio di Philip Hofmeister).

<p>Tuttavia, alcuni strumenti installati mediante rootkit, trojani 
ed anche utenti malintenzionati collegati medianti porte segrete 
potrebbero rilevare questa attività e tentare una reazione.
Vedere l'esecuzione di un <tt>rm -rf /</tt> mentre si estrae la 
scheda di rete dal sistema non è molto piacevole. 
Se non volete correre questo rischio e siete sicuri della 
compromissione del sistema, dovreste <em>staccare la spina della 
corrente</em> (tutte le spine, se sono più di una) e incrociare le 
dita; può sembrare un rimedio estremo ma di fatto, evita l'azione 
di qualsiasi bomba-logica programmata dall'intruso. In questo caso,
il sistema <em>non deve essere reinizializzato</em>, ma
dovreste spostare i dischi fissi su un altro sistema, per
analizzarli ed usare un altro supporto (un CD-ROM) per inizializzare 
il sistema ed esaminarlo. <em>Evitate</em> l'uso di un disco di 
ripristino Debian per far ripartire il sistema: se volete fare
l'analisi del sistema, <em>potete</em> usare la shell fornita dai 
dischi di installazione (premendo 
Alt+F2)<footnote>
          Se amate l'avventura, potete autenticarvi nel sistema e
          salvare informazioni su tutti i processi attivi (se ne
          ricavano molti da /proc/nnn/). Potete ricavare dalla
          memoria l'intero codice eseguibile, anche se l'attaccante
          ha cancellato dal disco i file eseguibili, dopodiché...
          staccate la spina della corrente!
</footnote>.

<p>L'uso di un file system attivo da CD-ROM, con tutti gli strumenti
(e i moduli del kernel) che possano servire per accedere al sistema 
danneggiato, è il metodo più consigliabile per tentarne il recupero.
Per ottenere tale CD-ROM, potete usare il pacchetto 
<package>mkinitrd-cd</package><footnote>
          In effetti, questo è lo strumento usato per i CD-ROM del
          Progetto <url id="http://www.gibraltar.at/" 
          name="Gibraltar">, un firewall attivo su CD-ROM, basato 
          sulla distribuzione Debian.
</footnote>. 

Potrebbe essere utile anche il CD-ROM di 
<url id="http://biatchux.dmzs.com/" name="FIRE"> (prima chiamato 
Biatchux), visto che è un CD-ROM attivo e dotato di strumenti 
diagnostici utili per questi casi. Non ci sono ancora né uno 
strumento come questo basato su Debian, né un modo semplice per
allestire un simile CD-ROM. Volendo provarci, usando una personale 
selezione di pacchetti Debian sarà necessario usare il pacchetto
<package>mkinitrd-cd</package> e leggerne tutta la documentazione.

<p>Se volete aggiustare il danno in tempi brevi, dovete rimuovere 
dalla vostra rete la postazione danneggiata e reinstallare da zero 
il sistema operativo. Naturalmente, questa potrebbe essere una scelta 
inefficace, dal momento che non rivela come l'intruso sia riuscito ad 
assumere lo status di root. Per capirlo, bisogna controllare tutto: 
il firewall, l'integrità dei file, la postazione dedicata alla 
registrazione dei log, gli stessi file di log e via dicendo. Per maggiori
informazioni sul da farsi mentre si segue un'irruzione, vedete
<url id="http://www.sans.org/y2k/DDoS.htm" name="Sans' Incident
Handling Guide (la Guida di Sans su come affrontare un incidente)"> o
<url id="http://www.cert.org/tech_tips/root_compromise.html"
name="CERT's Steps for Recovering from a UNIX or NT System Compromise
(Regole del CERT per recuperare da una compromissione di un sistema
UNIX o NT)">.

<p>Alcune questioni comuni, su come trattare un sistema Debian GNU/Linux
compromesso, vengono affrontate in <ref id="vulnerable-system">.







<sect>Fare una copia di ripristino del sistema

<p>Ricordate che, se siete sicuri che il sistema sia stato
compromesso, non potete fare affidamento sui programmi installati
né sulle informazioni restituite. Le applicazioni potrebbero essere
state infettate da trojan, altri moduli del kernel potrebbero essere
stati installati, etc.

<p>La miglior cosa da farsi è una copia completa del file system
(mediante <prgn>dd</prgn>), dopo la reinizializzazione da un supporto
sicuro. A tal fine, possono risultare comodi i CD-ROM di Debian
GNU/Linux, dal momento che, iniziata l'installazione, forniscono,
nella console 2, una shell raggiungibile con Alt+F2 e Invio. Da
questa, si salvano le informazioni su un'altra postazione, se
possibile (magari con un server di file di rete, tramite NFS/FTP), sì
da poter svolgere, a sistema interessato non in linea, l'analisi del
danno o la reinstallazione.

<p>Se siete sicuri che la compromissione è avvenuta tramite un
trojan installato in un modulo del kernel, potete avviare
tramite l'immagine del kernel denominata <em>rescue</em>.
Assicuratevi di avviare in modalità <em>single user</em>, per
evitare che altri processi trojanizzati si avviino dopo il kernel.





<sect>Contattate il vostro CERT locale

<p>Il CERT (Computer and Emergency Response Team) è un'organizzazione
che vi può aiutare a recuperare un sistema compromesso. Ci sono CERT
in tutto il 
mondo<footnote>
Questa è una lista di alcuni CERT, per una completa consultate

<url id="http://www.first.org/about/organization/teams/index.html"
name="FIRST Member Team information"> (FIRST è il Forum delle reazioni agli incidenti e Security Team):

<url id="http://www.auscert.org.au" name="AusCERT"> (Australia),
<url id="http://www.unam-cert.unam.mx/" name="UNAM-CERT"> (Messico)
<url id="http://www.cert.funet.fi" name="CERT-Funet"> (Finlandia),
<url id="http://www.dfn-cert.de" name="DFN-CERT"> (Germania),
<url id="http://cert.uni-stuttgart.de/" name="RUS-CERT"> (Germania),
<url id="http://www.first.org/members/teams/cert-it/" name="CERT-IT"> (Italia),
<url id="http://www.jpcert.or.jp/" name="JPCERT/CC"> (Giappone),
<url id="http://cert.uninett.no" name="UNINETT CERT"> (Norvegia),
<url id="http://www.cert.hr" name="HR-CERT"> (Croazia),
<url id="http://www.cert.pl" name="CERT Polskay"> (Polonia),
<url id="http://www.cert.ru" name="RU-CERT"> (Russia),
<url id="http://www.arnes.si/si-cert/" name="Sl-CERT"> (Slovenia)
<url id="http://www.rediris.es/cert/" name="IRIS-CERT"> (Spagna),
<url id="http://www.switch.ch/cert/" name="SWITCH-CERT"> (Svizzera),
<url id="http://www.cert.org.tw" name="TWCERT/CC"> (Taiwan),
e
<url id="http://ww.cert.org" name="CERT/CC"> (USA).
</footnote>

e dovreste contattare il vostro CERT nel caso vi capitasse un
incidente di sicurezza che compromettesse un sistema.
Le persone del vostro CERT vi potranno aiutare a recuperarlo.

<p>Fornendo al vostro CERT (o al CERT coordination center) 
informazioni sulla compromissione, anche se non state cercando 
assistenza, potrete aiutare gli altri, giacché l'insieme delle 
informazioni sugli incidenti riportati al CERT viene utilizzata 
per determinare se una data vulnerabilità viene sfruttata
comunemente, se c'è un nuovo worm in giro e quali nuovi strumenti 
di attacco vengono utilizzati. Queste informazioni vengono usate 
per fornire alla comunità di Internet le informazioni sulla <url 
id="http://www.cert.org/current/" name="attuale attività sugli 
incidenti di sicurezza">, per pubblicare <url 
id="http://www.cert.org/incident_notes/" name="le note sugli 
incidenti"> ed anche gli <url id="http://www.cert.org/advisories/" 
name="avvisi sulla sicurezza">.
Per informazioni più dettagliate leggete come (e perché) fare il
rapporto di un incidente nelle
<url id="http://www.cert.org/tech_tips/incident_reporting.html" 
name="Linee guida per il rapporto di un incidente">.

<p>Potete anche usare meccanismi meno formali se avete bisogno di
recuperare una compromissione, o se volete discutere sulle informazioni
di un'incidente. Questo include la 
<url id="http://marc.theaimsgroup.com/?l=incidents" 
name="mailing list degli incidenti"> e la
<url id="http://marc.theaimsgroup.com/?l=intrusions" 
name="mailing list delle intrusioni">.






<sect>Analisi "patologica"


<p>Se desiderate maggiori informazioni, il pacchetto 
<package>tct</package> ("Gli strumenti del patologo", di Dan Farmer 
e Wientse Venema) contiene accessori che analizzano
<em>post mortem</em> il sistema. <package>tct</package> permette
all'utente di raccogliere dati su file cancellati, processi in atto 
ed altro ancora. Per ulteriori informazioni vedete la documentazione 
acclusa al pacchetto.
Queste stesse utilità, e qualche altra, possono essere trovate in 
<url name="Sleuthkit ed Autopsy" id="http://www.sleuthkit.org/"> di 
Brian Carrier, che forniscono un'interfaccia web per analisi forense 
di immagini di dischi. In Debian puoi 
trovare sia <package>sleuthkit</package> (gli strumenti) che 
<package>autopsy</package> (l'interfaccia grafica). 

<p>Ricordate di condurre sempre l'analisi patologica sulla copia di 
ripristino dei dati, <em>mai</em> direttamente sui dati stessi: in 
caso di alterazione durante l'analisi, ogni tipo di prova andrebbe
persa!

<p>Troverete maggiori informazioni sull'analisi forense nel libro 
<url id="http://www.porcupine.org/forensics/forensic-discovery/" 
name="Forensic Discovery"> di Dan Farmer e Wietse Venema (disponibile 
in linea), così come nei loro volantini 
<url id="http://www.porcupine.org/forensics/column.html" 
name="Computer Forensics Column"> e 
<url id="http://www.porcupine.org/forensics/handouts.html" 
name="Computer Forensic Analysis Class handouts">. Anche la 
newsletter <url id="http://www.sleuthkit.org/informer/index.php" 
name="The Sleuth Kit Informer"> di Brian Carrier è un'ottima risorsa 
sull'analisi forense. Infine, 
<url id="http://www.honeynet.org/misc/chall.html" name="Honeynet
Challenges"> sono un'eccellente modo per affinare le proprie capacità 
di analisi forense, dato che includono attacchi reali contro sistemi 
honeypot e forniscono sfide che variano dall'analisi forense di 
dischi a registri di firewall e cattura di pacchetti.

<p>FIXME: Se tutto va bene, in futuro questo paragrafo dovrebbe contenere maggiori
informazioni sui metodi di diagnosi in un sistema Debian che ha subito un attacco.

<p>FIXME: Bisognerebbe parlare di come creare un archivio di tipo debsum su un
sistema stabile, salvando i file MD5sum su CD e ripristinando su una
partizione distinta il sistema recuperato.

<p>FIXME: aggiungere indicazioni su scritti riguardanti l'analisi "patologica",
come "the Honeynet's reverse challenge" (La controsfida della Honeynet) o i
<url id="http://staff.washington.edu/dittrich/" name="saggi di David Dittirch's">.





<sect1>Analisi di codice malevolo

<p>Altri strumenti forniti dalla distribuzione Debian per
l'analisi "patologica" sono:

<list>
<item><package>strace</package>.
<item><package>ltrace</package>.
</list>

<p>Questi pacchetti possono analizzare i "binari-canaglia" (come le
porte segrete), per stabilire come funzionino e che cosa facciano al
sistema. Altri strumenti comuni comprendono <prgn>ldd</prgn> (in
<package>libc6</package>), <prgn>strings</prgn> e
<prgn>objdump</prgn> (entrambi in <package>binutils</package>).

<p>Un'analisi patologica su porte segrete o binari sospetti,
rinvenuti su sistemi danneggiati, dovrebbe essere condotta in
un ambiente sicuro (per esempio, un'immagine di tipo
<package>bochs</package>, <package>xen</package> o un ambiente
imbrigliato in <prgn>chroot</prgn> con un utente con privilegi
minimi <footnote>
          State <em>molto</em> attenti se fate uso di chroot perché
          se il binario sfrutta una debolezza a livello kernel per
          incrementare i suoi privilegi allora sarebbe in grado di
          infettare il vostro sistema.
</footnote>),
altrimenti il sistema potrebbe essere a rischio di compromissione
mediante porte segrete, o peggio, concedere un accesso come root.

<p>Se siete interessati nell'analisi dei malware, allora dovreste
leggere il capitolo
<url id="http://www.porcupine.org/forensics/forensic-discovery/chapter6.html"
name="Malware Analysis Basics"> del libro sull'analisi forense di Dan
Farmer e Wietse Venema.


</chapt>






