La piramide di Maslow delle vulnerabilità informatiche
Quali sono le vulnerabilità informatiche che portano a una privilege escalation l’attacker? Le abbiamo inserite nella piramide di Maslow
In un recente articolo pubblicato su un portale di sicurezza è stato fatto notare come le fasi durante cui si può cadere vittima di un inganno informatico possono essere collocate all’interno della piramide di Maslow. Un’idea che abbiamo trovato molto interessante e che abbiamo voluto provare a sviluppare prendendo in considerazione le vulnerabilità informatiche.
Cos’è una Piramide di Maslow
Iniziamo con il dire che Abram Maslow era uno psicologo degli anni ’50. Il suo modello organizzativo aveva, ed ha, lo scopo di stabilire una gerarchia di bisogni, da quelli primari ed elementari a quelli più complessi; dal momento che tali bisogni sono caratterizzati da una scala crescente, quelli più in alto sono perseguibili solo quando quelli più in basso vengono soddisfatti.
La Piramide è suddivisa in 5 sezioni: bisogni fisiologici, di sicurezza, di appartenenza, di stima e di autorealizzazione.
I bisogni delle vulnerabilità informatiche
Cosa ha che fare il modello di Maslow con le vulnerabilità informatiche e gli attacchi hacker?
Di sicuro, il fatto che sono sempre di più le aziende vittime di attacchi che devono gestire sia i bisogni primari che di livello più elevato (abbiamo visto come nel primo quarter 2016 gli attacchi sono sempre più frequenti, complessi e di carattere maggiore). In sostanza, aziende e PMI cercano di portare la sicurezza nella propria infrastruttura attraverso un percorso articolato composto da step tra loro propedeutici.
Ma quali sono le vulnerabilità informatiche che possono portare a una privilege escalation l’attacker prendendo in questo modo il pieno controllo del server?
Burp Suite: Penetration test di mobile app e web
Burp Suite è un software progettato per analizzare il traffico di rete generato da applicazioni web-based
Utilizzato per esaminare e manipolare il flusso di dati dal browser web verso il server di riferimento, come ad esempio un sito Internet, è strutturato in una serie di strumenti che consentono all’utente di eseguire diversi Penetration Test e attacchi di vario genere.
E’ composto principalmente da questi componenti:
- Proxy: permette di ispezionare e manipolare il traffico di rete tra il brower web e l’applicazione da analizzare.
- Spider: indicizza il contenuto del sito, generando una lista di URL da verificare per individuare eventuali falle di sicurezza.
- Scanner: questo tool, disponibile solamente con la versione “Professional”, esegue uno scan automatizzato in cerca di vulnerabilità note pubblicamente.
- Intruder: utile per generare attacchi personalizzati, quindi exploit non presenti del database di Burp Suite.
- Repeater: registra ogni richiesta eseguita tra client e server e permette di riprodurla successivamente simulando l’identità dell’emittente.
- Sequencer: permette di verificare la “casualità” dei dati, ad esempio gli ID di sessione, i token utilizzati per il reset delle password, ecc.
Sono disponibili due versioni di questo software: Free Edition e Professional Edition.
Attacco Man-In-The-Middle: ARP Poison
Mantenere un sistema operativo aggiornato, installando patch di sicurezza ed appliance firewall, non garantisce protezione dagli attacchi provenienti dalla rete locale.
Un Hacker, può sfruttare le vulnerabilità del protocollo ARP (Address Resolution Protocol), per dirottare una connessione Internet e prenderne il controllo.
Per inviare un pacchetto IP, un host ha bisogno di conoscere l’indirizzo MAC del suo next-hop, ovvero del primo dispositivo a cui deve inoltrare i dati, affinchè questi ultimi giungano a destinazione.
Comunicando con una macchina presente su Internet, il next-hop è generalmente il proprio gateway predefinito, quando invece la trasmissione avviene tra due sistemi della stessa rete/sottorete, il MAC address, memorizzato nel frame Ethernet dove è incapsulato il pacchetto IP, può essere quello del dispositivo di destinazione.
Hacking Contest: retroscena e backstage
Retroscena e backstage del contest Blackout Resurrection
Abbiamo deciso di raccontarvi qualche retroscena, curiosità e dettaglio tecnico, su come abbiamo implementato alcune fasi dell’ultimo Seeweb Hacking Contest. Grazie al vostro impegno, anche quest’edizione ha riscosso un certo successo.
Questo articolo, è quindi un modo per ringraziare tutti i partecipanti, molti dei quali una volta terminato il contest hanno pubblicato sui propri siti web le soluzioni alle sfide che Seeweb ha messo in campo.
