Difesa in profondità per un solo computer

La difesa di rete viene solitamente insegnata per le organizzazioni: un centro operativo di sicurezza che osserva il traffico di un’intera azienda. Le idee sottostanti si applicano altrettanto bene a un solo Mac, ridotte alla scala di una persona che fa l’osservazione. Questa lezione espone i concetti su cui si costruisce il resto del corso.

Difesa in profondità: nessun singolo livello viene considerato affidabile da solo

La difesa in profondità significa disporre diverse protezioni indipendenti così che il fallimento di una non lasci la macchina esposta. Su un Mac, i livelli sono questi: il sistema operativo stesso (aggiornato, con i servizi non necessari disattivati, trattato nel corso di irrobustimento di macOS di questo sito), un firewall che controlla quali connessioni sono consentite in entrata e in uscita, gli account e i privilegi di cui un software avrebbe bisogno per fare danni reali, e infine la tua stessa attenzione verso ciò che sembra insolito. Nessuno di questi è sufficiente da solo. Un Mac non aggiornato ma ben protetto da un firewall può comunque essere compromesso tramite un’app vulnerabile; un Mac completamente aggiornato senza alcun firewall può comunque far trapelare dati verso qualunque cosa un’app decida di inviare.

La matrice D3FEND di MITRE, costruita insieme alla Cybersecurity Directorate della NSA, organizza esattamente questo tipo di pensiero a livelli in categorie denominate di tecniche difensive: irrobustire un sistema, rilevare attività sospette, isolare ciò che è compromesso, e infine espellere un aggressore e ripristinare il normale funzionamento. È scritta per grandi organizzazioni che confrontano strumenti e tecniche, ma le categorie si applicano perfettamente a un solo Mac: il corso di irrobustimento di macOS di questo sito tratta l’irrobustimento, questo corso tratta il rilevamento e l’isolamento, e nulla di ciò richiede di possedere un grande team di sicurezza per essere utile su scala minore.

Minimizzare l’esposizione: la superficie di attacco, dal lato della rete

L’idea complementare alla difesa in profondità è minimizzare l’esposizione: ridurre cosa è raggiungibile, e cosa può raggiungere l’esterno, in primo luogo. Il corso di irrobustimento di macOS tratta questo dall’interno della macchina, chiudendo servizi e porte; la difesa di rete tratta la stessa idea dal lato del traffico stesso, decidendo quali connessioni dovrebbero esistere affatto. Un servizio mai attivato non può essere attaccato via rete; una connessione mai consentita non può far trapelare dati, consegnare un payload, o ricevere istruzioni da un aggressore.

Il privilegio minimo, applicato al traffico di rete

Il privilegio minimo è di solito descritto in termini di account: dare a un utente o a un processo solo l’accesso di cui ha bisogno, nient’altro. La stessa logica si applica alle connessioni di rete. Un’app meteo non ha alcuna ragione legittima di parlare con un dominio in un paese in cui non si trovano i suoi server; un editor di testo non ha alcuna ragione legittima di fare connessioni di rete affatto. Il traffico che non corrisponde a ciò che un’app dovrebbe fare vale la pena metterlo in discussione, allo stesso modo in cui lo farebbe un account che tenta di fare qualcosa fuori dal proprio ruolo.

Blocco predefinito, e cosa costa

Un approccio a blocco predefinito blocca tutto tranne ciò che è stato esplicitamente consentito; il consenso predefinito blocca solo ciò che è stato esplicitamente identificato come dannoso. Il blocco predefinito è la posizione più forte in linea di principio, poiché non dipende dal conoscere già una minaccia, ma ha un costo reale e inevitabile: anche qualcosa di cui avevi davvero bisogno verrà occasionalmente bloccato, e devi accorgertene e risolverlo tu stesso. Un client di posta che improvvisamente non riesce a controllare i nuovi messaggi, o un driver di stampante che non trova la stampante, sono di solito il blocco predefinito che fa esattamente ciò per cui è stato configurato, in un momento che è fastidioso piuttosto che utile.

Questo compromesso è il motivo per cui i firewall a blocco predefinito tendono a chiedere, invece di decidere silenziosamente, la prima volta che un’app tenta di connettersi: chi usa la macchina è spesso l’unico che può dire se una data connessione sia prevista. La prossima lezione tratta gli strumenti specifici su macOS che ti permettono di applicare il blocco predefinito a diversi livelli, da una singola app all’intero stack di rete.