RedIRIS Jornadas Técnicas 2009 Santiago de Compostela Inmaculada Bravo García Reyes Hernández Rodriguez Mº Teresa Calvo Moya Universidad de Salamanca,

Presentación del tema: "RedIRIS Jornadas Técnicas 2009 Santiago de Compostela Inmaculada Bravo García Reyes Hernández Rodriguez Mº Teresa Calvo Moya Universidad de Salamanca,"— Transcripción de la presentación:

1 RedIRIS Jornadas Técnicas 2009 Santiago de Compostela Inmaculada Bravo García Reyes Hernández Rodriguez Mº Teresa Calvo Moya Universidad de Salamanca, Unidad servicios de red OpenLDAP Baseline Security Analyzer Plan Inicial de securización del directorio

2 OpenLDAP Baseline Security Analyzer Plan Inicial de securización del directorio Agenda http://openldap-bsa.forja.rediris.es Presentación Objetivos Amenazas y ataques a un servidor LDAP OCIL Interpreter Conclusiones

3 OpenLDAP Baseline Security Analyzer Plan Inicial de securización del directorio Presentación http://openldap-bsa.forja.rediris.es Estado inicial del directorio Análisis de amenazas Selección de criterios de seguridad Criterios Valoración Errores frecuentes Auditoría de su cumplimiento: OCIL Interpreter

4 OpenLDAP Baseline Security Analyzer Plan Inicial de securización del directorio Objetivos http://openldap-bsa.forja.rediris.es Provocar en los administradores actuales un reanálisis de la securización del servicio de directorio Que sirva de guía para los administradores que se enfrenten a esta tarea por primera vez.

5 OpenLDAP Baseline Security Analyzer Plan Inicial de securización del directorio http://openldap-bsa.forja.rediris.es Amenazas y ataques a un servidor LDAP (I) 1. Bugs en el software 2. Accesos al sistema de archivos del servidor 3. Interceptación de la comunicación Utilizando como o técnica previa Man in the Middle, utilizando envenenamiento ARP. 4. Acceso a los datos transmitidos: Utilizando sniffers 5. Conseguir credenciales utilizando "fuerza bruta"

6 OpenLDAP Baseline Security Analyzer Plan Inicial de securización del directorio http://openldap-bsa.forja.rediris.es Amenazas y ataques a un servidor LDAP (II) 6. Inyecciones de código en aplicaciones web Si estas aplicaciones no validan las entradas del cliente, los atacantes pueden crear sus propias consultas. 7. Modificación de datos Si se obtienen credenciales de un usuario privilegiado para escribir en el directorio, o si no se controlan adecuadamente los permisos de los usuarios legítimos 8. Denegación de servicio Aplicaciones mal programadas o ataque intencionados 9. Google y ficheros olvidados en un servidor web Por ejemplo: haciendo una búsqueda por filetype:ldiffiletype:ldif

7 OpenLDAP Baseline Security Analyzer Plan Inicial de securización del directorio http://openldap-bsa.forja.rediris.es Amenazas y ataques a un servidor LDAP

8 OpenLDAP Baseline Security Analyzer Plan Inicial de securización del directorio http://openldap-bsa.forja.rediris.es SCAP y Lenguaje OCIL SCAP (Security Content Automation Protocol) iniciativa del gobierno americano para verificar y automatizar el cumplimiento de los requisitos de seguridad. OCIL (Open Checklist Interactive Language) define un marco para expresar una serie de preguntas para ser presentadas a un usuario y procedimientos para interpretar las respuestas a estas preguntas.

9 OpenLDAP Baseline Security Analyzer Plan Inicial de securización del directorio http://openldap-bsa.forja.rediris.es OCIL Interpreter Es una interfaz gráfica escrita en java: Muestra al administrador los cuestionarios que debe ir respondiendo, estas respuestas se evalúan, se grabarán y se muestra un informe de resultados. El documento OCIL OpenLDAP-BSA.xml es el resultado de codificar los criterios de seguridad propuestos, en XML respetando el Schema OCIL.

10 OpenLDAP Baseline Security Analyzer Plan Inicial de securización del directorio http://openldap-bsa.forja.rediris.es

11 OpenLDAP Baseline Security Analyzer Plan Inicial de securización del directorio http://openldap-bsa.forja.rediris.es

12 OpenLDAP Baseline Security Analyzer Plan Inicial de securización del directorio http://openldap-bsa.forja.rediris.es Conclusiones El directorio es la “joya de la corona” Múltiples amenazas Guía de recomendaciones a tener en cuenta Dificultades: Cualquier modificación en el directorio afecta a muchas aplicaciones Reconducir malos hábitos es complicado pero necesario Evolución

13 OpenLDAP Baseline Security Analyzer Plan Inicial de securización del directorio http://openldap-bsa.forja.rediris.es Evolución GT-SCHEMA Adaptarlo a cualquier directorio Proponer configuraciones iniciales que recojan todos los ejemplos expuestos Es un proyecto abierto a la colaboración Enviando el resultado del cuestionario Preguntas Comentarios, criticas y correcciones etc.

14 OpenLDAP Baseline Security Analyzer Plan Inicial de securización del directorio http://openldap-bsa.forja.rediris.es ¿ Alguna pregunta ? Muchas gracias por vuestra atención. Inmaculada Bravo (inma@usal.es)inma@usal.es Reyes Hernández (reyes@usal.es)