Sistema eXploitato?

[stefanoxjx]

Guardate qua:

www.avast.it
www.blufile.it

Questa mattina (22/10/08) appare il seguente messaggio:

linuXploit_crew ownz contact derfspam@hotmail.co

E' quello che penso io?
Gli hanno bucato il server?
Questo farebbe un po' ridere visto che sul sito Blufile nella homepage scrivono che sono "Venditori di sicurezza"
Ciao.

[W.S.]

Si, sono stati defacciati.

Beh, ridere.. alla fine pure loro hanno siti web come tutti gli altri, soggetti alle stesse vulnerabilità. L'essere "venditori di sicurezza" seri secondo me non significa essere invulnerabili (ovvio, nemmeno essere dei gruviera) ma trattare seriamente il problema. Son curioso di vedere se pubblicheranno un report sull'accaduto o se faranno finta di nulla, questo si inciderebbe sulla mia opinione nei loro riguardi.

[dennyv]

Originariamente inviato da stefanoxjx

Guardate qua:

www.avast.it
www.blufile.it

Questa mattina (22/10/08) appare il seguente messaggio:

linuXploit_crew ownz contact derfspam@hotmail.co

E' quello che penso io?
Gli hanno bucato il server?
Questo farebbe un po' ridere visto che sul sito Blufile nella homepage scrivono che sono "Venditori di sicurezza"
Ciao.

Per la cronaca sono entrabmi in ASP su IIS

Comunque il primo è ancora defacciato, sul secondo han fatto finta di niente.

Premesso che son contro ogni forma di defacement, questo è alquanto innocuo. Mi dispiace solo che spesso ci vogliano questi attacchi per far svegliare gli admin dal tepore e mettergli il pepe alle chiappe per aggiornare il software e raffinare le configurazioni delle macchine.

[W.S.]

Originariamente inviato da dennyv

Mi dispiace solo che spesso ci vogliano questi attacchi per far svegliare gli admin dal tepore e mettergli il pepe alle chiappe per aggiornare il software e raffinare le configurazioni delle macchine.

Spezzo un lancia a favore dei sistemisti/admin, spesso si trovano a dover "far funzionare" il tutto in tempi rapidi. Sanno benissimo che i sistemi potrebbero essere protetti meglio e probabilmente saprebbero pure farlo, ma quando? Le ore di lavoro sono 8 al giorno (normalmente solo sul contratto) e le cose da fare ne richiederebbero il doppio.
Aggiornare il software? Mica è come sui desktop, prima di farlo uno vuole la "certezza" che tutto fili liscio e che non si trovi in downtime a causa di un aggiornamento che ha rotto qualcosa (e magari chiamare qualcuno in un altro continente per riavviare una macchina divenuta irraggiungibile). Il che significa testare, ri-testare e sperare che anche in produzione funzioni come sulle macchine di test. Oltre ai casi in cui un aggiornamento significherebbe fermare il servizio, cosa che non viene mai presa tanto alla leggera.

Per come la vedo io è questo il reale problema, o comunque uno dei maggiori, alla base della sicurezza informatica. Ne hai voglia di conoscere sistemi di difesa se poi non sei nella condizione di poterli realizzare. Più un sysadmin è preparato più si rende conto di non poter finire il proprio lavoro nel tempo richiesto (a volte non dispone nemmeno dei mezzi richiesti) quindi si ricorre al miglior compromesso. Purtroppo l'attaccante, per la legge dei grandi numeri, è sempre pronto a sfruttare un bug poche ore dopo la sua scoperta, festivi compresi.

Questo non vuol dire che siano tutti dei santi senza macchia, ovviamente ci sono persone che necessitano realmente di una sveglia

[darkbasic]

Per fare seriamente il sysadmin servono le palle ed anni e anni di esperienza.
Se poi si tratta di un piccolo serverino domestico le cose cambiano ed è molto più facile metterlo in sicurezza, ma non pensiate che sia così facile nella totalità delle situazioni..

[dennyv]

Verissimo quello che entrambi dite, lo so perché è il mio lavoro. E' verissimo della fretta e l'impossibilità comunque di "testare" e mettere appunto tutto... però per esperienza mia passata, soprattutto parlando di sistemi Windows, l'80% degli attacchi che hanno avuto successo sono stati causati da patch disponibili da tempo ma mai applicate.

Bisognerebbe trovare l'equilibrio tra l'ottima regola "se va perché toccarlo?" e un continuo aggiornamento e raffinamento del sistema, dei suoi software e delle policy... poi lo so quanto sia utopico soprattutto se i sistemi sono molti e si vuole dormire la notte

Ciao!

PS voglio la sezione serveeeerrrrr