Scenari di hackeraggio
Dalla mia personale esperienza ho imparato a distinguere gli attacchi ai server in tre diverse categorie :
• Intrusioni da parte di Virus o Worm
• Sabotaggi da parte di hacker
• Attacchi di tipo DOS/DDOS
Il primo tipo di intrusione produce speso un solo effetto collaterale a causa di un elevato traffico di rete dovuto al “codice riproduttivo” del virus/worm. Può anche portare a malfunzionamenti vari del server. La prevenzione contro in questi casi si riduce semplicemente a mantenere aggiornati il sistema operativo ed i programmi antivirus*. Nel caso d’infezione si procederà con la bonifica delle macchine infette, rimuovendo il codice intruso. In questi casi è fondamentale documentarsi sugli esatti effetti del codice virale perché potrebbero dar luogo a fuga di dati riservati presenti sul server : è il caso del virus Banker che trasmette in Internet codici d’accesso e numeri di carta di credito. Fonti per ottenere queste informazioni sono bitdefender.com, alla sezioneVirus Enciclopedia e Trend Micro alla sezione Thread Enciclopedia.
L’attacco da parte di hacker può essere la tipologia più difficile da affrontare semplicemente perchè ci si scontra con l’ingegno e la tecnica di una persona che ha la ferma volontà di sabotare dei sistemi! Ad un livello di difficoltà molto inferiore vi sono gli attacchi di script-kiddies cioè di persone che mancando dei veri skill da hacker riescono però a creare danni utilizzando sistemi di sabotaggio chiavi-in-mano come Metasploit (v. attacco d’esempio).
Accade spesso che immediatamente prima di un sabotaggio si registrino una serie di attività preventive che l’hacker compie per scovare le debolezze della macchina bersaglio. Tutto ciò sarà documentato dai log del sistema e dagli eventuali sistemi di monitoraggio installati.
Soltanto un accurato controllo delle macchine può avvisarci in tempo utile di ciò che sta per accadere, permettendoci di intervenire in tempo utile.
Contro l’ultimo tipo di attacco c’è ben poco da fare a meno che non si disponga di risorse proprie di grosse aziende. L’attacco DDOS sferrato qualche anno fa ai domini http://www.microsoft.com e http://www.sco.com in segno di protesta per le azioni legali intraprese da quest’ultima nei confronti di Caldera portò al blocco dei due siti. Il sito della SCO rimase offline per un tempo scandaloso e dovette risolvere il problema modificando il puntamento DNS : il sito ufficiale divenne sco.com. La Microsoft, per contro, riuscì a tornare online entro brevissimo tempo ricorrendo a costosi adeguamenti tecnologici..
Sugli attacchi DOS c’è molto da dire perché si tratta di una saturazione delle risorse server che mira a buttare giù uno o più servizi o, ancora, l’intero server. Ci sono molti modi per farlo, sarà argomento di un prossimo articolo.
(*) usare l’antivirus sulla macchina server è, a mio avviso, sconsigliabile
