3. Strumenti e Risorse Utilizzati

4. Metodologia

Attività 1: Configurazione della Scansione con Credenziali

1. Configurazione SSH:

   • Installato OpenSSH (sudo apt install openssh-server).
   • Configurato Nessus con le credenziali SSH (username: root, password: kali).
   • Abilitata l'elevazione dei privilegi tramite su.

   

2. Risultati della Scansione:

punteggio di vulnerabilità SSH scansionato

RACCOMANDAZIONI In seguito alla scansione con credenziali e alla valutazione delle vulnerabilità sul server Linux e sulle applicazioni ospitate, si raccomandano i seguenti passaggi di remediation per migliorare la postura di sicurezza dell'organizzazione:

1. Patch di sistema e software: • Aggiornare OpenSSH all'ultima versione sicura per risolvere le vulnerabilità note. • Applicare le ultime patch del kernel Linux, incluse le correzioni urgenti come CVE-2022-0185. • Aggiornare Node.js alla versione 18.20.1 o successiva per mitigare rischi come il request smuggling, la casualità insicura e le vulnerabilità di gestione della memoria (ad es., CVE-2024-27980, CVE-2024-21891, CVE-2024-21892). • Abilitare gli aggiornamenti automatici delle patch o integrarsi con un sistema centralizzato di gestione delle patch per garantire l'applicazione tempestiva delle correzioni di sicurezza.
2. Indurimento del servizio SSH • Disabilitare algoritmi SSH deboli, cifrari (ad es., CBC, Arcfour) e MAC. • Imporre l'autenticazione basata su chiave e disabilitare l'accesso con password dove possibile. • Configurare una porta SSH personalizzata e limitare l'accesso SSH utilizzando regole firewall o TCP wrapper. • Limitare l'accesso a IP specifici e implementare l'autenticazione a due fattori (2FA) per le connessioni remote.
3. Controllo utenti e accessi • Disabilitare l'accesso root via SSH; utilizzare sudo per l'elevazione dei privilegi. • Rimuovere account utente inutilizzati o legacy e applicare policy di password complesse. • Configurare meccanismi di blocco degli account per prevenire attacchi brute-force. • Verificare gruppi e privilegi degli utenti per garantire l'applicazione del principio del minimo privilegio.
4. Indurimento di host e rete • Disabilitare i servizi non necessari e chiudere le porte inutilizzate. • Utilizzare strumenti di hardening come Lynis, OpenSCAP o CIS Benchmarks per applicare le migliori pratiche. • Implementare regole firewall per limitare l'esposizione di rete e prevenire il movimento laterale.
5. Monitoraggio, registrazione e rilevamento • Abilitare la registrazione dettagliata per SSH, sudo ed eventi di sistema. • Integrare i log con una piattaforma SIEM per monitoraggio e avvisi in tempo reale. • Monitorare comportamenti sospetti e modelli di accesso anomali.
6. Sicurezza di applicazioni e dipendenze • Eseguire npm audit o yarn audit per scansionare e correggere le dipendenze Node.js. • Testare regolarmente le applicazioni con strumenti di analisi dinamica e statica (DAST/SAST). • Utilizzare un Web Application Firewall (WAF) per bloccare gli attacchi web noti.
7. Backup e ripristino • Pianificare backup regolari di configurazioni e dati critici. • Testare periodicamente le procedure di disaster recovery e ripristino dei backup.
8. Consapevolezza della sicurezza e governance • Condurre formazione periodica sulla sicurezza per amministratori di sistema e sviluppatori. • Mantenere aggiornate le policy di sicurezza, le procedure e la documentazione degli asset. • Eseguire valutazioni periodiche delle vulnerabilità e test di penetrazione per mantenersi proattivi.

Attività 2: Scansione delle Applicazioni Web

1. Vulnerabilità di Nginx:

• CVE-2021-23017 (CVSS 7.5): Buffer overflow in Nginx 1.15.5.

  • Exploit: DoS remoto tramite richiesta appositamente predisposta.
  • Patch: Aggiornare a Nginx ≥1.20.1.

• CVE-2022-41741 (CVSS 8.2): Corruzione della memoria HTTP/2.

• CVE-2025- 2254

  • Exploit Disponibile: Sì (modulo Metasploit).

1. Analisi delle Vulnerabilità:
   • Facilità di Exploit: Bassa complessità (exploit pubblici disponibili).
   • Date delle Patch:
     • CVE-2021-23017: Patchata a giugno 2021.
     • CVE-2022-41741: Patchata a ottobre 2022.

Attività 3: Reporting Email Automatizzato

1. Configurazione SMTP:

   • Host: smtp.gmail.com (Porta: 587, TLS).

   

   • Utilizzata una password per app Gmail per l'autenticazione.

   

   

   • Email di test inviata con successo agli stakeholder.

   

   nessus ha inviato un'email. significa che ha funzionato perfettamente.

Attività 4: Gestione delle Patch

1. Playbook Ansible:

   • Rimosso Nginx obsoleto (/usr/local/nginx).
   • Installata l'ultima versione di Nginx (apt: name=nginx state=latest).

   

   script .yml per aggiornare la vecchia versione di Nginx

   • Risultato: Aggiornato da Nginx 1.15.5 a 1.26.3.

   

5. Analisi e Risultati

Vulnerabilità Chiave Identificate

1. Versioni NGINX Obsolete

• CVE-2021-23017: Sovrascrittura di 1 byte in memoria nel resolver DNS (rischio: RCE/crash).
• Exploit HTTP/2:
  • CVE-2019-9511, CVE-2019-9513, CVE-2019-9516: DoS tramite manipolazione dei frame.
  • CVE-2018-16843, CVE-2018-16844, CVE-2018-16845: Attacchi di esaurimento CPU/memoria.
• CVE-2019-20372: Divulgazione della versione del server tramite header HTTP (perdita di informazioni).

2. Risultati di Molteplici Plugin da Nessus

• ID Plugin: 150154, 127907, 118956, 134220 confermano versioni NGINX non supportate/vulnerabili.

Rischi Chiave:

• I sistemi senza patch sono suscettibili a ransomware e violazioni dei dati.
• Le vulnerabilità web espongono i dati dei clienti a intercettazioni.

6. Azioni Critiche per la Remediation della Sicurezza NGINX

1. Aggiornare NGINX all'Ultima Versione Stabile (≥1.20.1)
   • Perché? Mitiga:
     • CVE-2021-23017 (corruzione della memoria del resolver DNS)
     • Vulnerabilità DoS HTTP/2 (CVE-2019-9511, CVE-2018-16843, ecc.)
     • Divulgazione della versione del server (CVE-2019-20372).
   • Azione:
     • Eseguire il backup delle configurazioni (nginx.conf), quindi aggiornare utilizzando i repository NGINX ufficiali.
     • Verificare la versione dopo l'aggiornamento: nginx -v.
2. Disabilitare o Indurire HTTP/2
   • Se HTTP/2 non è necessario:
     • Disabilitarlo nella configurazione NGINX (listen 443 ssl invece di listen 443 ssl http2).
   • Se necessario:
     • Assicurarsi che NGINX sia patchato (post-aggiornamento).
     • Monitorare i log per traffico HTTP/2 anomalo (ad es., stream/frame rapidi).
3. Implementare la Gestione delle Patch
   • Automatizzare gli aggiornamenti: Utilizzare strumenti come unattended-upgrades (Linux) o Ansible.
   • Pianificare verifiche: Controlli mensili per gli aggiornamenti dei pacchetti NGINX/OS.
4. Verificare le Correzioni con una Nuova Scansione Nessus
   • Eseguire nuovamente Nessus (ID Plugin: 150154, 127907, ecc.) per confermare:
     • La versione di NGINX non viene più segnalata.
     • Le CVE HTTP/2 (se abilitate) sono patchate.

Ulteriori Passaggi di Indurimento

• Nascondere la versione di NGINX: Aggiungere server_tokens off; in nginx.conf.
• Limitare i Metodi HTTP: Consentire solo GET, POST, HEAD se applicabile.
• Monitorare i Database CVE: Iscriversi agli advisory di sicurezza NGINX.

Tempistica:

• Immediata (24-48h): Aggiornare NGINX, disabilitare HTTP/2 (se possibile).
• Follow-up (1 settimana): Implementazione della gestione patch + nuova scansione.

Post-Remediation: Documentare le modifiche e aggiornare i piani di risposta agli incidenti per includere scenari di exploit HTTP/2/NGINX.

7. Sfide e Soluzioni

8. Conclusione

La valutazione ha identificato vulnerabilità critiche nell'infrastruttura web di CyberTech a causa di versioni NGINX obsolete e CVE non patchate, esponendo l'organizzazione ad attacchi DoS, corruzione della memoria e divulgazione di informazioni. Per affrontare questi rischi, sono essenziali aggiornamenti immediati, indurimento di HTTP/2 e gestione automatizzata delle patch.

Una scansione di follow-up dovrebbe essere condotta post-remediation per validare le correzioni. Mantenere una postura di sicurezza proattiva attraverso aggiornamenti e monitoraggio regolari aiuterà a mitigare le minacce future e garantire una resilienza a lungo termine.

10. Riferimenti

1. NIST NVD: https://nvd.nist.gov
2. Nessus Documentation: https://www.tenable.com
3. https://www.notion.so/Nessus-1cb5f18a0bc980cdb558d62702ab23e9?pvs=4