Registrare gli accessi ai DataBase è una questione complessa e spesso le soluzioni non possono essere solo tecnologiche ma anche organizzative.

Ad esempio esistono diverse modalità di log in SQL.
Quella offerta dal sistema consente di registrare i soli logon su event log, ma questa modalità non rispetta quanto richiesto dal Garante perché mancano i logoff.
Per avere anche i logoff è necessario abilitare l’audit tramite profiling, ed in questo caso gli accessi sono  registrati su una tabella o un file di trace di SQL stesso. Ma Microsoft avverte che l’abilitazione del profiling può essere una operazione pesante.

A nostro avviso prima di abilitare l’audit su DataBase, in generale, è necessario considerare attentamente alcune questioni piuttosto rilevanti, che dipendono anche dal modo in cui le applicazioni accedono al database e da come sono gestite le utenze:

1) L’audit di sistema, soprattutto quello tramite profiling, può appesantire notevolmente il sistema, in alcuni casi anche impedendo di fatto l’uso del Database stesso.

2) Se l’accesso a DataBase da parte delle applicazioni viene effettuato sempre con la stessa utenza registrare gli accessi perde di significato: non è più possibile risalire a chi effettivamente ha effettuato l’accesso.
Questo caso va verificato in modo approfondito perché spesso anche se le applicazioni richiedono l’inserimento di utenze diversificate, in realtà accedono al DB con una unica stessa utenza.

3) Se le applicazioni sono state disegnate in modo da effettuare accessi “atomici” sul DataBase, cioè se ad ogni operazione corrisponde una connessione, il log risultante potrebbe essere estremamente voluminoso.

La maggioranza delle soluzioni di raccolta indiscriminata dei log non si occupa di queste problematiche: vengono raccolti tutti i log, sta poi all’utente trovare i criteri per impostare i filtri di visualizzazione.

Vista la complessità della questione, la maggioranza dei nostri clienti ha scelto finora di registrare gli accessi ai sistemi, indipendentemente dalle applicazioni in essi contenute.
Per quelle realtà che hanno risolto questo tipo di problematiche, per esempio con la gestione di utenze personali, la NEST sta comunque completando la realizzazione dei relay specifici per i principali DB.

No tags

Il progetto RegiA è nato per ottemperare alle norme di legge a garanzia della privacy… degli altri, con RegiA on-a-stick diventa un’ottima occasione per tutelare anche la PROPRIA privacy.

Si può iniziare usando RegiA on-a-stick come LiveDVD o LiveUSB su qualsiasi computer recente, senza modificare il disco fisso del computer usato, e quindi senza lasciarvi tracce.

RegiA on-a-stick include alcuni strumenti efficaci per tutelare la propria privacy in termini di dati memorizzati e navigazione in rete ed internet…

[contiunua a leggere...]

Aggiornamenti release · Linux · RegiA on-a-stick

Scegliere una soluzione per ottemperare al provvedimento del Garante sugli Amministratori non è semplice. Secondo l’oste il vino è sempre ottimo.  Per valutare la validità delle soluzioni serve uno strumento obiettivo, ecco quindi 10 domande da fare a chi vi propone una soluzione. Fatele ai fornitori, e segnate in una colonna le risposte di ciascuno, vi aiuteranno a scegliere con maggiore perizia:

1. Il fornitore rilascia un attestato di conformità dettagliato e *sensato* da allegare al DPS, in modo da sollevare Responsabile e Titolare del trattamento dal dover dimostrare l’ottemperanza alla legge in caso di verifica o segnalazione?
2. Le registrazioni integrano in modo omogeneo i log di sistemi diversi, come computer, data base, apparati, applicazioni, ecc.?
3. Le registrazioni sono fruibili in modo semplice anche da non-tecnici come titolari e responsabili del trattamento?
4. I log sono elaborabili in proprio con strumenti di larga diffusione che supportano formati standard non proprietari?
5. Come si adempie al requisito di inalterabilità, ad esempio con numerazione univoca e firma immediata alla fonte o dopo un periodo di tempo o passaggi sufficienti all’alterazione?
6. E’ gestita l’indisponibilità della rete o del server? Per garantire sufficiente bufferizzazione è necessario ridimensionare o riconfigurare i log dei computer monitorati?
7. Come si adempie alla completezza? I record sono numerati progressivamente e firmati alla fonte in modo che non se ne possano eliminare impunemente prima che vengano raccolti? Gli audit degli eventi da registrare sono attivati e mantenuti attivi automaticamente? Ci sono verifiche automatiche che non vengano disabilitati?
8. Gli amministratori designati dispongono di strumenti che garantiscano loro che nessun altro possa generare registrazioni a loro carico?
9. Gli accessi eseguiti con utenze generiche sono ricondotti alle PERSONE che li utilizzano?
10. Quanto costa?

Ricordate il Salvalavista 626 Beghelli? Il marketing non ha mai smesso di colpire dall’ombra delle leggi, sfruttando l’incompetenza del mercato. Sta succedendo anche con il provvedimento del Garante sugli Amministratori.

Le nostre risposte sono nelle FAQ.

No tags

Oltre che dal punto di vista della sicurezza informatica, mettiamoci per un momento dal punto di vista delle persone.

Amministratori e Responsabili del DPS devono registrare e poter controllare gli accessi degli Amministratori, ma con strumenti comuni le registrazioni possono essere originate anche da chi non è stato designato ufficialmente Amministratore. Come sollevare Amministratori e Responsabili dal dover rispondere di quello che non hanno fatto?

Il Garante chiede di registrare gli accessi degli Amministratori di Sistema, ma strumenti insicuri rendono impossibile garantire chi li usa e chi ne è responsabile, prima ancora di garantire che le registrazioni siano inalterabili, integre, complete e possibilmente VERITIERE.

Vi ricordate nell’estate del ’99 la disputa fra il gruppo cDc (Cult of Dead Cow) e la Microsoft? I legali di zio Bill sostenevano che BackOrifice era una pericolosa backdoor perchè permette di connettersi a computer remoti all’insaputa dell’utente. cDc ha risposto che Microsoft ha descritto quello che fa il proprio SMS (Microdoft Systems Management Server).

Una miriade di fonti autorevoli, una per tutte Bruce Shneier citato anche dalla CNN, hanno dato ragione al cDc.

Quasi tutti gli strumenti di amministrazione remota (RAT) sono insicuri o basano la sicurezza sulle credenziali Windows, anch’esse fondamentalmente deboli per colpa degli algoritmi usati ma anche degli utenti che percepiscono le credenziali come un obbligo sofferto, e cercano scorciatoie di tutti i tipi. C’è un gran bisogno di strumenti sicuri, ma lasciamo per un attimo il punto di vista della sicurezza aziendale, e mettiamoci da quello degli Amministratori di Sistema e di Titolari, Responsabili e Incaricati al trattamento dei dati che devono rendere conto nel DPS.

Rcon, prodotto di punta della NEST per l’amministrazione remota sicura, è integrato nell’Agent di RegiA per Windows. L’accesso con Rcon è legato a chiavi hardware crittografiche USB contenenti il profilo di ciascun amministratore: chi è, cosa, dove e quando può amministrare i sistemi. Rcon può essere portato con se in una chiavetta USB, cifra le comunicazioni e provvede ad altri meccanismi di sicurezza (v. documentazione).

Con Rcon solo chi possiede la chiave hardware crittografica può utilizzare lo strumento per amministrare i computer remoti, producendo specifiche registrazioni degli accessi.

Naturalmente tutti gli accessi con Rcon sono adeguatamente registrati nel Server di Raccolta con informazioni fruibili e controllabili anche da non-tecnici dal Monitor di RegiA. Rcon è basato sull’eccellente, ma originariamente insicuro, VNC.

Rcon è scalabile, è stato adottato sia da piccole aziende che da grandi Gruppi Bancari. Per approfondire vedere la scheda sintetica del prodotto.

Controllo Remoto · RAT · Rcon · Windows