<chapt id="automatic-harden">Irrobustimento automatico di un sistema Debian


<p>Dopo aver letto tutte le informazioni dei capitoli precedenti
potreste chiedervi "Devo fare molte cose per rendere sicuro il mio
sistema, non potrebbero essere automatizzate?". La risposta è sì, ma
fate attenzione agli strumenti automatizzati. Alcune persone
credono che uno strumento per l'irrobustimento non elimini il bisogno di
una buona amministrazione. Perciò non pensate stupidamente che si
possa automatizzare l'intero processo e risolvere i problemi
correlati. La sicurezza è un processo continuo al quale
l'amministratore deve partecipare e al quale non può solo assistere e
lasciare che gli strumenti svolgano il loro lavoro. 
Non esiste un solo strumento che possa risolvere i problemi per 
tutte le possibili implementazioni delle politiche di sicurezza, 
tutti i tipi di attacchi e tutti gli ambienti.

<p>Dall'uscita di woody (Debian 3.0) esistono due pacchetti 
specifici che sono utili per aumentarne la sicurezza. Il 
pacchetto <package>harden</package> ha un approccio basato 
sulle dipendenze dei pacchetti per installare rapidamente quelli 
relativi alla sicurezza e rimuovere quelli con dei problemi; 
la configurazione dei pacchetti deve essere fatta 
dall'amministratore. Il pacchetto 
<package>bastille</package> che implementa una data politica di 
sicurezza su un sistema locale, basata su una precedente 
configurazione fatta dall'amministratore (la configurazione può 
essere effettuata rispondendo con sì od un no a delle semplici 
domande).


<sect>Harden

<p>Il pacchetto <package>harden</package> tenta di rendere più 
semplice l'installazione e l'amministrazione degli host che 
necessitano di una buona sicurezza. Questo pacchetto dovrebbe 
essere usato da persone che desiderano un piccolo aiuto per 
aumentare la sicurezza del sistema. Installa automaticamente 
alcuni tool che possono fornire una sicurezza maggiore in un
qualche modo: strumenti per il rilevamento delle intrusioni, 
strumenti di analisi della sicurezza, etc.. Harden installa i 
seguenti pacchetti <em>virtuali</em> (cioè non 
hanno contenuto, ma solo dipendenze su altri):

<list>

<item><package>harden-tools</package>: strumenti che aumentano la 
sicurezza del sistema (controllo d'integrità, rilevamento delle 
intrusioni, patch al kernel...).
<item><package>harden-environment</package>: aiuta a configurare un ambiente 
più robusto (al momento vuoto).
<item><package>harden-servers</package>: rimuove i server considerati insicuri 
per qualche ragione.
<item><package>harden-clients</package>: rimuove i client considerati insicuri
per qualche ragione.
<item><package>harden-remoteaudit</package>: strumento per fare
auditing remoto di un sistema.
<item><package>harden-nids</package>: un aiuto per installare
sistemi per l'individuazione di tentativi di intrusione in una rete.
<item><package>harden-surveillance</package>: un aiuto per installare
strumenti di monitoraggio di reti e servizi.

</list>

Package utili che non costituiscono dipendenze:

<list>
<item><package>harden-doc</package>: fornisce questo manuale e altri
pacchetti di documentazione relativi alla sicurezza.
<item><package>harden-development</package>: strumenti di sviluppo 
per creare programmi più sicuri.

</list>


<p>Fate attenzione perché se avete software di cui avete necessità
(e che non volete disinstallare per qualche motivo) che entra in
conflitto con qualcuno dei pacchetti qui sopra, potreste non essere
in grado di usare pienamente <package>harden</package>.
I pacchetti che compongono harden non  fanno nulla (direttamente).
Ad ogni modo, hanno dei conflitti con dei pacchetti che sono 
conosciuti per non essere sicuri. In questo modo, il
sistema di impacchettamento di Debian non approverà l'installazione
di questi pacchetti. Per esempio, quando tenterete di installare un
demone telnet con <package>harden-servers</package>,
<package>apt</package> dirà:

<example>
# apt-get install telnetd 
The following packages will be REMOVED:
  harden-servers
The following NEW packages will be installed:
  telnetd 
Do you want to continue? [Y/n]
</example>

<p>Questo dovrebbe far nascere qualche dubbio nella testa
dell'amministratore che, a questo punto, dovrebbe 
riconsiderare questa azione.





<sect>Bastille Linux

<p><url id="http://www.bastille-unix.org" name="Bastille Linux"> 
è uno strumento automatico per 
migliorare la sicurezza, originariamente pensato per le distribuzioni Red Hat 
e Mandrake; ciononostante, il pacchetto <package>bastille</package> è 
stato riveduto e corretto 
per offrire le identiche funzionalità anche al sistema Debian GNU/Linux (in 
cui è presente a partire dalla distribuzione woody).</p>

<p>Bastille può essere utilizzato con diversi frontend (sono tutti 
documentati nella rispettiva pagina man inclusa nel pacchetto 
Debian) e questo permette all'amministratore di:

<list>

<item>Rispondere punto per punto a domande riguardanti il livello di 
sicurezza desiderato (mediante <manref name="InteractiveBastille" 
section="8">).
<item>Scegliere un'impostazione di sicurezza  predefinita (fra le 
tre fornite: Lax, Moderate o Paranoia - Lassista, Moderata o 
Paranoica), una strategia per la sicurezza (server o postazione di 
lavoro) e lasciare che Bastille adotti una linea di condotta 
conseguente (mediante <manref name="BastilleChooser" section="8">).
<item>Usufruire di un file di configurazione predefinito (fornito 
da Bastille o creato dall'amministratore) e implementare una 
strategia per la sicurezza (mediante <manref name="AutomatedBastille" 
section="8">).

</list>




