RedIRIS Jornadas Técnicas 2009 Santiago de Compostela Inmaculada Bravo García Reyes Hernández Rodriguez Mº Teresa Calvo Moya Universidad de Salamanca, Unidad servicios de red OpenLDAP Baseline Security Analyzer Plan Inicial de securización del directorio

OpenLDAP Baseline Security Analyzer Plan Inicial de securización del directorio Agenda Presentación Objetivos Amenazas y ataques a un servidor LDAP OCIL Interpreter Conclusiones

OpenLDAP Baseline Security Analyzer Plan Inicial de securización del directorio Presentación Estado inicial del directorio Análisis de amenazas Selección de criterios de seguridad Criterios Valoración Errores frecuentes Auditoría de su cumplimiento: OCIL Interpreter

OpenLDAP Baseline Security Analyzer Plan Inicial de securización del directorio Objetivos Provocar en los administradores actuales un reanálisis de la securización del servicio de directorio Que sirva de guía para los administradores que se enfrenten a esta tarea por primera vez.

OpenLDAP Baseline Security Analyzer Plan Inicial de securización del directorio Amenazas y ataques a un servidor LDAP (I) 1. Bugs en el software 2. Accesos al sistema de archivos del servidor 3. Interceptación de la comunicación Utilizando como o técnica previa Man in the Middle, utilizando envenenamiento ARP. 4. Acceso a los datos transmitidos: Utilizando sniffers 5. Conseguir credenciales utilizando "fuerza bruta"

OpenLDAP Baseline Security Analyzer Plan Inicial de securización del directorio Amenazas y ataques a un servidor LDAP (II) 6. Inyecciones de código en aplicaciones web Si estas aplicaciones no validan las entradas del cliente, los atacantes pueden crear sus propias consultas. 7. Modificación de datos Si se obtienen credenciales de un usuario privilegiado para escribir en el directorio, o si no se controlan adecuadamente los permisos de los usuarios legítimos 8. Denegación de servicio Aplicaciones mal programadas o ataque intencionados 9. Google y ficheros olvidados en un servidor web Por ejemplo: haciendo una búsqueda por filetype:ldiffiletype:ldif

OpenLDAP Baseline Security Analyzer Plan Inicial de securización del directorio Amenazas y ataques a un servidor LDAP

OpenLDAP Baseline Security Analyzer Plan Inicial de securización del directorio SCAP y Lenguaje OCIL SCAP (Security Content Automation Protocol) iniciativa del gobierno americano para verificar y automatizar el cumplimiento de los requisitos de seguridad. OCIL (Open Checklist Interactive Language) define un marco para expresar una serie de preguntas para ser presentadas a un usuario y procedimientos para interpretar las respuestas a estas preguntas.

OpenLDAP Baseline Security Analyzer Plan Inicial de securización del directorio OCIL Interpreter Es una interfaz gráfica escrita en java: Muestra al administrador los cuestionarios que debe ir respondiendo, estas respuestas se evalúan, se grabarán y se muestra un informe de resultados. El documento OCIL OpenLDAP-BSA.xml es el resultado de codificar los criterios de seguridad propuestos, en XML respetando el Schema OCIL.

OpenLDAP Baseline Security Analyzer Plan Inicial de securización del directorio

OpenLDAP Baseline Security Analyzer Plan Inicial de securización del directorio

OpenLDAP Baseline Security Analyzer Plan Inicial de securización del directorio Conclusiones El directorio es la “joya de la corona” Múltiples amenazas Guía de recomendaciones a tener en cuenta Dificultades: Cualquier modificación en el directorio afecta a muchas aplicaciones Reconducir malos hábitos es complicado pero necesario Evolución

OpenLDAP Baseline Security Analyzer Plan Inicial de securización del directorio Evolución GT-SCHEMA Adaptarlo a cualquier directorio Proponer configuraciones iniciales que recojan todos los ejemplos expuestos Es un proyecto abierto a la colaboración Enviando el resultado del cuestionario Preguntas Comentarios, criticas y correcciones etc.

OpenLDAP Baseline Security Analyzer Plan Inicial de securización del directorio ¿ Alguna pregunta ? Muchas gracias por vuestra atención. Inmaculada Bravo Reyes Hernández