:: Sicurezza nelle Reti - Prova scritta - Febbraio 2008 ::
Esercizio 1
Spiegare in sintesi ma con precisione il motivo per il quale un DNS Zone Transfer può rappresentare un rischio per la sicurezza di una rete.
Vediamo innanzitutto che cosa è il DNS Zone Transfer.
Esso è una caratteristica dei sistemi DNS. Questi sono fatti in modo gerarchico: c'è il DNS che gestisce i .it, il quale ha una voce che dice che swappa.it va delegato ad un certo altro DNS, e così via. C'è quindi un DNS che è autoritativo per un certo indirizzo. Ma questi server autoritativi non sono unichi: in genere ci sono più deleghe per lo stesso indirizzo. I vari server autoritativi devono essere mantenuti sincronizzati: c'è un master e tutti gli altri sono slave. Lo zone transfer è l'operazione per cui il master invia a tutti i suoi slave una nuova tabella di associazioni IP/URL.
Questa roba è potenzialmente dannosa perché, forzando una Zone Transfer, è possibile far associare a certi URL degli indirizzi fasulli, e il povero utente non può farci niente.
Esercizio 3
Si spieghi, in sintesi ma con precisione,
- cosa si intende per filtraggio a livello applicativo;
- si faccia un esempio di tecnologia di tale genere.
Il filtraggio a livello applicativo è un tipo di filtraggio che si spinge oltre il riconoscimento di sessioni TCP. Prevede l'analisi del payload di un pacchetto, la determinazione del tipo di protocollo applicativo cui il pacchetto appartiene, e il determinare se tale pacchetti sta rispettando le regole relative a quel protocollo applicativo. Salta subito all'occhio che
- è una roba pesante dal punto di vista computazionale
- è complessa da implementare, perché il firewall deve conoscere l'implementazione completa di ogni protocollo applicativo che intende gestire.
Una tecnologia che utilizza il filtraggio a livello applicativo può essere il Layer7-filter, un plugin di netfilter, il quale classifica i pacchetti in base al protocollo applicativo cui appartengono. Come i NIDS utilizza il riconoscimento di pattern, tramite i quali è in grado di dire a quale protocollo appartenga un certo pacchetto. Come tutte le robe basate su pattern, è pesante dal punto di vista computazionale, può essere bypassato con certi giri di stringhe, e genera falsi allarmi.
In genere Layer7 viene applicato alla chain POSTROUTING della tabella MANGLE, così che può vedere tutti i pacchetti.
Torna alla pagina di Sicurezza nelle Reti
