analisi e realizzazione di uno strumento per la verifica di conformità su sistemi remoti basato...
DESCRIPTION
Analisi e realizzazione di uno strumento per la verifica di conformità su sistemi remoti basato sullo standard XCCDF - PresentazioneTRANSCRIPT
![Page 1: Analisi e realizzazione di uno strumento per la verifica di conformità su sistemi remoti basato sullo standard XCCDF](https://reader033.vdocuments.pub/reader033/viewer/2022052907/5593005b1a28abae1e8b46e0/html5/thumbnails/1.jpg)
Analisi e realizzazione di uno strumento per la veri2ica di conformità su sistemi remoti basato
sullo standard XCCDF
Laureando: Relatore: Davide Bravin Prof. Alberto Bartoli Svolta presso: Correlatore: Emaze Networks S.p.A Alessandro Budai
Università degli Studi di Trieste DiparEmento di Ingegneria e ArchiteIura Corso di Laurea Magistrale in Ingegneria InformaEca
Anno accademico 2012/2013
![Page 2: Analisi e realizzazione di uno strumento per la verifica di conformità su sistemi remoti basato sullo standard XCCDF](https://reader033.vdocuments.pub/reader033/viewer/2022052907/5593005b1a28abae1e8b46e0/html5/thumbnails/2.jpg)
Contesto Tra gli interessi dell’azienda ci sono: • Minimizzare l’impaIo di possibili vulnerabilità̀ • AutomaEzzare le procedure di controllo
Le problemaEche che si vogliono risolvere sono verificare la presenza di: • Vulnerabilità̀ • SoTware e versione • Determinate configurazioni del sistema operaEvo o di un soTware
![Page 3: Analisi e realizzazione di uno strumento per la verifica di conformità su sistemi remoti basato sullo standard XCCDF](https://reader033.vdocuments.pub/reader033/viewer/2022052907/5593005b1a28abae1e8b46e0/html5/thumbnails/3.jpg)
Standard • ProblemaEche non solo aziendali • RispeIare gli standard per: • Interoperabilità con prodoU esterni • Favorire la condivisione e il riuElizzo delle informazioni, dei daE o dei risultaE;
• Ridurre i margini di errore e la complessità̀ del soTware;
• Esistono standard: • OVAL -‐ Open Vulnerability and Assessment Language • XCCDF – the eXtensible ConfiguraEon Checklist DescripEon Format
![Page 4: Analisi e realizzazione di uno strumento per la verifica di conformità su sistemi remoti basato sullo standard XCCDF](https://reader033.vdocuments.pub/reader033/viewer/2022052907/5593005b1a28abae1e8b46e0/html5/thumbnails/4.jpg)
OVAL Language • Open Vulnerability and Assessment Language
• Linguaggio XML per esprimere lo stato di un sistema e permeIere di fare asserzioni
OVAL Language fornisce: • Descrizione delle informazioni che devono essere raccolte • Descrizione di come devono essere valutate
![Page 5: Analisi e realizzazione di uno strumento per la verifica di conformità su sistemi remoti basato sullo standard XCCDF](https://reader033.vdocuments.pub/reader033/viewer/2022052907/5593005b1a28abae1e8b46e0/html5/thumbnails/5.jpg)
XCCDF Language • the eXtensible ConfiguraEon Checklist DescripEon Format
• Linguaggio XML per specificare checklist e riportare i risultaE della loro valutazione
• Checklist: documento in forma machine-‐readable di un insieme di configurazioni di sicurezza per qualche sistema
![Page 6: Analisi e realizzazione di uno strumento per la verifica di conformità su sistemi remoti basato sullo standard XCCDF](https://reader033.vdocuments.pub/reader033/viewer/2022052907/5593005b1a28abae1e8b46e0/html5/thumbnails/6.jpg)
OVAL e XCCDF
![Page 7: Analisi e realizzazione di uno strumento per la verifica di conformità su sistemi remoti basato sullo standard XCCDF](https://reader033.vdocuments.pub/reader033/viewer/2022052907/5593005b1a28abae1e8b46e0/html5/thumbnails/7.jpg)
Obiettivi e requisiti L’obieUvo è la realizzazione di uno strumento automaEzzato che sia in grado di: • Collegarsi a un sistema remoto • Interagire con il sistema oIenendo varie Epologie di informazioni
• Verificare se la configurazione è conforme a quella voluta
Alcuni requisiE sono: • RispeIare gli standard XCCDF e OVAL • Interagire con strumenE già presenE in azienda • Esecuzione da terminale
![Page 8: Analisi e realizzazione di uno strumento per la verifica di conformità su sistemi remoti basato sullo standard XCCDF](https://reader033.vdocuments.pub/reader033/viewer/2022052907/5593005b1a28abae1e8b46e0/html5/thumbnails/8.jpg)
Interprete XCCDF • Necessita di: • Sistema target • Documento XCCDF • Documento OVAL
![Page 9: Analisi e realizzazione di uno strumento per la verifica di conformità su sistemi remoti basato sullo standard XCCDF](https://reader033.vdocuments.pub/reader033/viewer/2022052907/5593005b1a28abae1e8b46e0/html5/thumbnails/9.jpg)
Work2low Interprete XCCDF (I) Il processo di elaborazione di una checklist:
1. Analisi dei documenE XML
![Page 10: Analisi e realizzazione di uno strumento per la verifica di conformità su sistemi remoti basato sullo standard XCCDF](https://reader033.vdocuments.pub/reader033/viewer/2022052907/5593005b1a28abae1e8b46e0/html5/thumbnails/10.jpg)
Work2low Interprete XCCDF (II) Il processo di elaborazione di una checklist:
1. Analisi dei documenE XML 2. Elaborazione della checklist
![Page 11: Analisi e realizzazione di uno strumento per la verifica di conformità su sistemi remoti basato sullo standard XCCDF](https://reader033.vdocuments.pub/reader033/viewer/2022052907/5593005b1a28abae1e8b46e0/html5/thumbnails/11.jpg)
Work2low Interprete XCCDF (III) Il processo di elaborazione di una checklist:
1. Analisi dei documenE XML 2. Elaborazione della checklist 3. Valutazione dei test da eseguire
![Page 12: Analisi e realizzazione di uno strumento per la verifica di conformità su sistemi remoti basato sullo standard XCCDF](https://reader033.vdocuments.pub/reader033/viewer/2022052907/5593005b1a28abae1e8b46e0/html5/thumbnails/12.jpg)
Work2low Interprete XCCDF (IV) Il processo di elaborazione di una checklist:
1. Analisi dei documenE XML 2. Elaborazione della checklist 3. Valutazione dei test da eseguire 4. Esecuzione dei test
![Page 13: Analisi e realizzazione di uno strumento per la verifica di conformità su sistemi remoti basato sullo standard XCCDF](https://reader033.vdocuments.pub/reader033/viewer/2022052907/5593005b1a28abae1e8b46e0/html5/thumbnails/13.jpg)
Esecuzione dei test Engine Oval già presente, in grado di: • ConneIersi a un sistema • Eseguire i test presenE nei documenE OVAL • Fornire un risultato di Epo True o False
Refactoring dell’engine per permeIere all’interprete di: • Inizializzare e finalizzare engine • Richiedere l’esecuzione di un test • Fornire i parametri del test • Ricevere il risultato del test
![Page 14: Analisi e realizzazione di uno strumento per la verifica di conformità su sistemi remoti basato sullo standard XCCDF](https://reader033.vdocuments.pub/reader033/viewer/2022052907/5593005b1a28abae1e8b46e0/html5/thumbnails/14.jpg)
Work2low Interprete XCCDF (V) Il processo di elaborazione di una checklist:
1. Analisi dei documenE XML 2. Elaborazione della checklist 3. Valutazione dei test da eseguire 4. Esecuzione dei test 5. Valutazione risultato dei test
![Page 15: Analisi e realizzazione di uno strumento per la verifica di conformità su sistemi remoti basato sullo standard XCCDF](https://reader033.vdocuments.pub/reader033/viewer/2022052907/5593005b1a28abae1e8b46e0/html5/thumbnails/15.jpg)
Work2low Interprete XCCDF (VI) Il processo di elaborazione di una checklist:
1. Analisi dei documenE XML 2. Elaborazione della checklist 3. Valutazione dei test da eseguire 4. Esecuzione dei test 5. Valutazione risultato dei test 6. Visualizzazione dei risultaE
![Page 16: Analisi e realizzazione di uno strumento per la verifica di conformità su sistemi remoti basato sullo standard XCCDF](https://reader033.vdocuments.pub/reader033/viewer/2022052907/5593005b1a28abae1e8b46e0/html5/thumbnails/16.jpg)
Conclusione L’obieUvo di creare uno strumento automaEzzato per la verifica di conformità che rispeU lo standard XCCDF è stato raggiunto. Alcuni possibili sviluppi futuri: • Creazione di un’interfaccia grafica • Creazione di uno strumento per permeIere la personalizzazione di una checklist già̀ esistente
• Aggiornamento di entrambi gli strumenE a una versione più̀ recente di Python
• Miglioramento della gesEone dei log
![Page 17: Analisi e realizzazione di uno strumento per la verifica di conformità su sistemi remoti basato sullo standard XCCDF](https://reader033.vdocuments.pub/reader033/viewer/2022052907/5593005b1a28abae1e8b46e0/html5/thumbnails/17.jpg)
Grazie per l’aIenzione