Principali caratterisitche di sicurezza

Principali caratterisitche di sicurezza

AgendaAgendaUAP (User Account Protection)UAP (User Account Protection)

Parental ControlParental Control

Internet Explorer 7.0Internet Explorer 7.0

Protezione dai virusProtezione dai virus

Windows Service HardeningWindows Service Hardening

Network Access ProtectionNetwork Access Protection

FirewallFirewall

Avvio sicuroAvvio sicuro

User Account ProtectionUser Account ProtectionE’ molto frequente lavorare sui propri E’ molto frequente lavorare sui propri pc come amministratoripc come amministratori

Ci consente usabilitàCi consente usabilità

Non ci consente sicurezzaNon ci consente sicurezzaVirus, worm e spyware penetrano nelle Virus, worm e spyware penetrano nelle macchine e usano questi privilegi macchine e usano questi privilegi amministrativiamministrativi

Chi ha troppi diritti, può fare “troppi danni”…Chi ha troppi diritti, può fare “troppi danni”…

Anche diverse applicazioni richiedono Anche diverse applicazioni richiedono diritti di Administrator o di Power Userdiritti di Administrator o di Power User

Anche molte operazioni di gestione del Anche molte operazioni di gestione del sistema operativo li richiedonosistema operativo li richiedono

Cosa fa UAP…Cosa fa UAP…Abilita gli utenti ad eseguire Abilita gli utenti ad eseguire operazioni come non-administratoroperazioni come non-administrator

Solo l’utente built-in “Administrator” Solo l’utente built-in “Administrator” avrà sempre pieni poteri amministrativiavrà sempre pieni poteri amministrativi

Qualunque altro utente, anche facente Qualunque altro utente, anche facente parte del gruppo “Administrators”, avrà parte del gruppo “Administrators”, avrà inizialmente poteri limitatiinizialmente poteri limitati

Se deve eseguire operazioni comuni, userà Se deve eseguire operazioni comuni, userà questi suoi diritti limitatiquesti suoi diritti limitati

Se deve eseguire operazioni amministrative, Se deve eseguire operazioni amministrative, dovrà effettuare un’elevazione dei suoi dovrà effettuare un’elevazione dei suoi privilegiprivilegi

In Windows Vista Beta1, UAP non è In Windows Vista Beta1, UAP non è abilitato per default. Nella Beta2 sarà abilitato per default. Nella Beta2 sarà attivo.attivo.

Come funziona UAPCome funziona UAPPer utenti del gruppo “Users”Per utenti del gruppo “Users”

Ogni volta che devono eseguire Ogni volta che devono eseguire operazioni amministrative, sono richieste operazioni amministrative, sono richieste le credenziali di un utente le credenziali di un utente amministrativo (come prima, ma senza amministrativo (come prima, ma senza obbligo di richiamare “Run as”)obbligo di richiamare “Run as”)

Per utenti di un gruppo Per utenti di un gruppo amministrativoamministrativo

Al logon vengono dotati di uno “split-Al logon vengono dotati di uno “split-token”token”

Possiedono ora 2 tipi di credenziali : Possiedono ora 2 tipi di credenziali : amministrative e comuni. Quelle comuni sono amministrative e comuni. Quelle comuni sono utilizzate per tutte le operazioni comuni utilizzate per tutte le operazioni comuni (browser, posta, ecc…)(browser, posta, ecc…)

Per eseguire task amministrativi, un prompt Per eseguire task amministrativi, un prompt chiede all’utente di confermare le credenziali chiede all’utente di confermare le credenziali di admindi admin

Per maggior scorrevolezza, è anche possibile far Per maggior scorrevolezza, è anche possibile far apparire il prompt, senza richiesta di re-immettere apparire il prompt, senza richiesta di re-immettere la passwordla password

Protezione delle applicazioni (1)Protezione delle applicazioni (1)

Durante l’installazioneDurante l’installazioneWindows Vista rileva ogni tentativo di Windows Vista rileva ogni tentativo di lanciare un Setup Installerlanciare un Setup Installer

Il prompt chiede la conferma amministrativaIl prompt chiede la conferma amministrativa

Dopo l’installazioneDopo l’installazioneVecchie applicazioni non funzionano Vecchie applicazioni non funzionano correttamente se non si è amministratoricorrettamente se non si è amministratori

Motivo : cercano di scrivere in parti di registro Motivo : cercano di scrivere in parti di registro o in cartelle di solito accessibili solo agli o in cartelle di solito accessibili solo agli amministratoriamministratori

Vista “virtualizza” queste parti di registro Vista “virtualizza” queste parti di registro o cartelle e le trascrive in parti accessibili o cartelle e le trascrive in parti accessibili agli utenti standard (HKCU e per-user agli utenti standard (HKCU e per-user store)store)

Protezione delle applicazioni (2)Protezione delle applicazioni (2)

Le vecchie applicazioni funzionano Le vecchie applicazioni funzionano ora anche con diritti di standard userora anche con diritti di standard user

UAP è da considerarsi come UAP è da considerarsi come tecnologia di transizionetecnologia di transizione

Gli sviluppatori sono tenuti a scrivere Gli sviluppatori sono tenuti a scrivere codice compatibile con Windows Vistacodice compatibile con Windows Vista

Usare tecnologia Windows InstallerUsare tecnologia Windows Installer

Fare testing come “non-administrator”Fare testing come “non-administrator”

Operazioni amministrative solo in Operazioni amministrative solo in installazioneinstallazione

Operazioni user in esecuzioneOperazioni user in esecuzione

Esecuzione delle applicazioniEsecuzione delle applicazioni

E’ sempre possibile indicare E’ sempre possibile indicare manualmente ad una applicazione di manualmente ad una applicazione di essere eseguita con privilegi elevati essere eseguita con privilegi elevati (“Run elevated”)(“Run elevated”)

E’ possibile anche indicare ad una E’ possibile anche indicare ad una applicazione di essere eseguita applicazione di essere eseguita SEMPRE con privilegi elevati (è il tab SEMPRE con privilegi elevati (è il tab “Compatibility” nelle proprietà “Compatibility” nelle proprietà dell’eseguibile)dell’eseguibile)

Pulsante “Unlock” per alcuni Pulsante “Unlock” per alcuni strumenti del Pannello di Controllostrumenti del Pannello di Controllo

Parental ControlParental ControlGarantisce un uso “corretto” del pc ai Garantisce un uso “corretto” del pc ai propri figli propri figli

Limita quando e per quanto un figlio può Limita quando e per quanto un figlio può utilizzare il computerutilizzare il computer

Limita quali siti web un figlio può visitareLimita quali siti web un figlio può visitare

Limita quali programmi un figlio può Limita quali programmi un figlio può eseguireeseguire

Restringe l’accesso ad alcuni giochiRestringe l’accesso ad alcuni giochi

Esegue report dettagliati sull’utilizzo del Esegue report dettagliati sull’utilizzo del computer da parte dei figlicomputer da parte dei figli

Internet Explorer 7.0Internet Explorer 7.0Basato su UAPBasato su UAP

Esegue in modalità read-only Esegue in modalità read-only (eccetto “File Temporanei Internet” e (eccetto “File Temporanei Internet” e “Cronologia)“Cronologia)

Malware penetrato da Internet non Malware penetrato da Internet non può eseguire operazioni dannosepuò eseguire operazioni dannose

Gli Add-on possono essere installati Gli Add-on possono essere installati solo col permesso dell’utentesolo col permesso dell’utente

Possibilità di cancellare tutta la cache Possibilità di cancellare tutta la cache e i controlli ActiveX con un solo clice i controlli ActiveX con un solo clic

Filtro anti-phishing integratoFiltro anti-phishing integrato

Altre caratteristiche di IE7Altre caratteristiche di IE7Avvisa sempre l’utente quando Avvisa sempre l’utente quando inserisce dati in un sito non protetto inserisce dati in un sito non protetto SSL/TLSSSL/TLSViene evidenziata la barra degli Viene evidenziata la barra degli indirizzi se si è connessi ad un sito indirizzi se si è connessi ad un sito sicurosicuro““Tab browsing” integrato in RTMTab browsing” integrato in RTMEvidenzia il nome di dominio se Evidenzia il nome di dominio se questo è un indirizzo IP o contiene questo è un indirizzo IP o contiene caratteri specialicaratteri specialiIDN per gli URL con caratteri IDN per gli URL con caratteri multilinguamultilinguaZoom delle pagine web senza Zoom delle pagine web senza perdere qualitàperdere qualitàSSLv3 e TLSv1 per la crittazioneSSLv3 e TLSv1 per la crittazione

IE6IE6

IE6 in esecuzione come AdminIE6 in esecuzione come Admin

Installa un driver,

Avvia Windows Update

Modifica impostazioni,

Download di immagini

Cache dei contenuti

Exploit possono installare MALWARE

Exploit possono installare MALWARE

Accesso come Admin

Accesso come Admin

Accesso come UserAccesso come User

Temp Internet FilesTemp Internet Files

HKLM

Program Files

HKCU

My Documents

Startup Folder

File e impostazioni non fidati

IE7 in Protected ModeIE7 in Protected Mode

IE7 inProtected

Mode

IE7 inProtected

Mode

Installa un driver, Installa un controllo ActiveX

Modifica delle impostazioni,

Salva immagini

Inte

gri

ty C

on

tro

l

Bro

ker

Pro

cess

Impostazioni e file rediretti

Com

pat

Red

irect

or

Contenuti in cache

Accesso come Admin

Accesso come Admin

Accesso come UserAccesso come User

Temp Internet FilesTemp Internet Files

HKLM

HKCC

Program Files

HKCU

My Documents

Startup Folder

File e impostazioni non fidati

Protezione dai virusProtezione dai virus

Agente integrato che opera in due Agente integrato che opera in due fasi:fasi:

Durante l’aggiornamento da XP a Vista, Durante l’aggiornamento da XP a Vista, verifica i file esistenti su disco alla verifica i file esistenti su disco alla ricerca di virus (usa un database ricerca di virus (usa un database standard delle signature)standard delle signature)

Dopo l’installazione periodicamente Dopo l’installazione periodicamente Windows Vista scarica nuovi database Windows Vista scarica nuovi database delle signature da Windows Updatedelle signature da Windows Update

Windows Service HardeningWindows Service Hardening

Impedisce ai servizi Windows critici di Impedisce ai servizi Windows critici di eseguire attività dannose nel eseguire attività dannose nel registro, nel file system o in reteregistro, nel file system o in rete

Es. RPC bloccato nel modificare il Es. RPC bloccato nel modificare il registroregistro

Ad ogni servizio sono associati un SID Ad ogni servizio sono associati un SID e un profilo che consentono o negano e un profilo che consentono o negano operazioni locali o di reteoperazioni locali o di rete

Serve a bloccare i tentativi dei codici Serve a bloccare i tentativi dei codici maligni di costringere i servizi di sistema maligni di costringere i servizi di sistema a eseguire operazioni dannosea eseguire operazioni dannose

E’ ora difficile che software maligni si E’ ora difficile che software maligni si propaghino da pc a pcpropaghino da pc a pc

Network Access ProtectionNetwork Access ProtectionAgente che impedisce a un client di Agente che impedisce a un client di connettersi alla rete interna se non connettersi alla rete interna se non dispone di ultime patch e antivirus dispone di ultime patch e antivirus aggiornatoaggiornato

Dipende dalle caratteristiche Dipende dalle caratteristiche dell’infrastruttura server circostante dell’infrastruttura server circostante (Longhorn Server)(Longhorn Server)

Si applica a tecnologie DHCP, VPN, IEEE Si applica a tecnologie DHCP, VPN, IEEE 802.1x, IPSec802.1x, IPSec

Serve a impedire che computer non Serve a impedire che computer non protetti si connettano alla rete interna, protetti si connettano alla rete interna, diffondendo worm o virusdiffondendo worm o virus

Per informazioni sulla tecnologiaPer informazioni sulla tecnologiahttp://www.microsoft.com/technet/itsolutions/network/nap/http://www.microsoft.com/technet/itsolutions/network/nap/

naparch.mspxnaparch.mspx

FirewallFirewallBasato sul firewall di Windows XP SP2Basato sul firewall di Windows XP SP2

Filtri per il traffico in uscitaFiltri per il traffico in uscita

Configurabile tramite Group PolicyConfigurabile tramite Group Policy

Configurabile tramite linea di Configurabile tramite linea di comandocomando

Avvio sicuroSituazione attualeAvvio sicuroSituazione attuale

Tanti programmi di cracking delle Tanti programmi di cracking delle passwordpassword

Attacchi off-line alle chiavi di sistemaAttacchi off-line alle chiavi di sistema

Attacchi ai protocolli di sicurezzaAttacchi ai protocolli di sicurezza

Furto o perdita di pc o dischi rigidiFurto o perdita di pc o dischi rigidi

Compromissione dei file criptatiCompromissione dei file criptati

Difficoltà ad eliminare completamente Difficoltà ad eliminare completamente dati sensibili dai dischi (numerosi dati sensibili dai dischi (numerosi tools di analisi e recupero)tools di analisi e recupero)

Soluzioni di Windows VistaSoluzioni di Windows VistaTPM (Trusted Platform Module), TPM (Trusted Platform Module), metodo di sicurezza hardware-basedmetodo di sicurezza hardware-based

Microchip installato su motherboardMicrochip installato su motherboard

Protegge da attacchi software, non Protegge da attacchi software, non da operazioni di utenti riconosciutida operazioni di utenti riconosciuti

Memorizza in maniera sicura tutte le Memorizza in maniera sicura tutte le chiavi di crittografia, password e chiavi di crittografia, password e certificaticertificati

Evita accessi al disco (in caso di Evita accessi al disco (in caso di furto)furto)

Evita accessi ai dati da sistemi Evita accessi ai dati da sistemi operativi diversioperativi diversi

Struttura del discoStruttura del discoLe partizioni criptate

dell’OS contengono:• OS crittato• Page file crittato• File temporanei criptati• Dati criptati• File di ibernazione

crittato

La System Partition contiene utility per il boot(non criptate, 50MB)

MBR

Valore del Full Volume EncryptionValore del Full Volume Encryption

La crittazione del file di ibernazione La crittazione del file di ibernazione protegge dall’ibernazione di portatili protegge dall’ibernazione di portatili con documenti sensibili aperticon documenti sensibili apertiLa Full Volume Encryption aumenta la La Full Volume Encryption aumenta la sicurezza di tutte le chiave di sicurezza di tutte le chiave di registry, file di configurazione, file di registry, file di configurazione, file di paginazione e ibernazione presenti paginazione e ibernazione presenti sul disco crittatosul disco crittatoLa semplice distruzione della chiave La semplice distruzione della chiave consente la dismissione sicura degli consente la dismissione sicura degli asset aziendaliasset aziendali

Scenari di ripristinoScenari di ripristino

La chiave principale di crittazione, a La chiave principale di crittazione, a scelta, è memorizzabile su supporti scelta, è memorizzabile su supporti esterni o in AD, per successivo esterni o in AD, per successivo richiamorichiamo

Scenario di ripristino dopo rottura Scenario di ripristino dopo rottura dell’hardwaredell’hardware

È possibile spostare il disco dal portatile È possibile spostare il disco dal portatile rotto al nuovo portatilerotto al nuovo portatile

Scenario di ripristino dopo attaccoScenario di ripristino dopo attaccoCambiamento/cancellazione dei file del Cambiamento/cancellazione dei file del Boot LoaderBoot Loader

Ripristino dell’avvio sicuroRipristino dell’avvio sicuro

Abilitazione della funzione

Accessoalla retevia AD

Deposito della chiaveper esempio via AD

L’utente rompe il computer

HD della macchina rottainserito nella nuova macchina

Alert: Secure Startup Recovery

Secure Startup Recovery has failed.

You will not be able to start up your computer nor access your data. Your hard drive will remain encrypted until you can provide either the recovery media or your recovery key.

Close

x

Utente chiama SysAdminSysAdmin sblocca e fornisce la chiaveutente dopo aver verificato le credenziali

Secure Startup Recovery Key

Please enter your Secure Startup Recovery Key.

CancelOk

x

**** **** **** ****

Secure Startup Recovery Mode

You have successfully recovered your data.

The recovery process is complete.

Close

x

EFS e FVE Partner nella protezioneEFS e FVE Partner nella protezione

EFSEFSFornisce sicurezza nel contesto utenteFornisce sicurezza nel contesto utente

Migliorato in Windows Vista per Migliorato in Windows Vista per incrementare la sicurezza fornita incrementare la sicurezza fornita all’utente (smartcards)all’utente (smartcards)

Non misura l’integrità dei singoli Non misura l’integrità dei singoli componenti del processo di bootcomponenti del processo di boot

Non fornisce protezione offline per l’OS, Non fornisce protezione offline per l’OS, file temporanei, file di swap e di file temporanei, file di swap e di ibernazioneibernazione

FVEFVEFornisce sicurezza Fornisce sicurezza nel contesto nel contesto macchinamacchina – pensato – pensato per proteggere l’OSper proteggere l’OS

Protegge tutti i Protegge tutti i settori sul volume settori sul volume di installazione di di installazione di Windows, inclusi i Windows, inclusi i file temporanei, i file temporanei, i file di swap e file di swap e ibernazione.ibernazione.

Non fornisce Non fornisce sicurezza a livello sicurezza a livello utenteutente

© 2005 Microsoft Corporation. All rights reserved.This presentation is for informational purposes only. Microsoft makes no warranties, express or implied, in this summary.