Alessio Grillo wrote:
Salve a tutti!
E' la prima volta che invio un messaggio in questa mailing-list.
Desidererei porvi una richiesta di aiuto in merito a quanto segue:
ho deciso di preparare la tesi universitaria (corso di laurea in
Scienze della sicurezza economica e finanziaria) in Informatica, piu'
Quindi la tua tesi avrà come obiettivo l'analisi del rischio per il
sistema finanziario implementato su sistemi linux o windows
precisamente sulla sicurezza dei sistemi Linux e Windows. Ancora non
ho formulato esattamente il titolo della tesi in quanto vorrei prima
avere le idee chiare sul lavoro da fare. Infatti la mia intenzione
sarebbe di procedere come segue:
1. installare separatamente su due pc Windows Vista e Linux (Slackware
12) senza modificarne le configurazioni di default;
2. collegarli in rete con collegamento adsl;
3. simulare l'individuazione dei due host da parte di un network
scanning casuale;
4. simulare un attacco tramite un Network Security Testing Tools (per
es. Satan, Nessus, Saint, ecc.);
5. esaminare le eventuali falle individuate e mettere a confronto,
sulla base di esse, il diverso livello di sicurezza offerto dai due
sistemi operativi;
6. ripetere la procedura predisponendo, pero', i due sistemi con
firewall configurati ad-hoc (per linux ovviamente Netfilter/Iptables,
mentre per Win pensavo a Zone Alarm Internet Security);
7. eventualmente analizzare l'aumento esponenziale del rischio nel
caso gli stessi pc siano collegati a una rete wireless (protetta e
non).
8. Conclusioni: piu' sicuro windows o linux? Piu' affidabili i
firewall per linux o quelli per windows?
Le scelte architetturali l'uso di firewall diversi, di ips, ids,
architetture a 2-3-n livelli, sistemi di autenticazione e quanto altro
determiano il vero valore di rischio non certo esporre un pc così messo
su pigiando invio di continuo è assolutamente inutile: nessuno nel mondo
finance "dovrebbe" fare così se tiene un minimo ai propri soldi...
Chi è più resistente fra windows e linux?
Dipende dagli skill di chi configura gli ambienti, tutti pensano di
saper configurare e amministrare un sistema windows solo perchè hanno la
stessa interfaccia di xp.... come tutti credono di sapere configurare e
amministrare sistemi e servizi su linux perchè installano ubunto....
Attenzione il mestiere della security è ben diverso da quello del sysadmin
E per quelle che sono le tue finalità non credo l'approccio sia proprio
corretto anche perchè escludi problemi applicativi come privilege
escalation di un utente homebanking....
Per una tesi come la tua, cercherei di mettere a confronto le varie
architetture/soluzioni implementate da diverse realtà finanziarie
Ora mi rendo perfettamente conto che non si tratta di un argomento di
alto livello tecnico, anche perche', seppur conosca bene Linux e
Windows, le mie non eccelse conoscenze di C, SQL e bash scripting (per
non parlare degli altri linguaggi che ignoro completamente)
difficilmente mi consentiranno di creare appositamente un exploit. Ma
comunque il mio non e' un corso di laurea in informatica, quindi non
posso pretendere molto.
A questo punto vi chiedo: avreste qualche consiglio da darmi?
Documentazione, libro o link da suggerirmi? Nelle tesi e' molto
importante l'aiuto del prof, soprattutto quando si e' studenti
lavoratori e quindi con poco tempo a disposizione, ma finora non ho
ricevuto alcun sostegno o linea guida da seguire.
Mi scuso per la prolissita' del messaggio.
Grazie per l'attenzione.
Saluti
________________________________________________________
http://www.sikurezza.org - Italian Security Mailing List
________________________________________________________
http://www.sikurezza.org - Italian Security Mailing List
