Microsoft Windows 98

Riepilogo generale

Negli ultimi dieci anni, l'interesse e gli investimenti destinati alla protezione dei sistemi informatici sono aumentati considerevolmente e sono stati oggetto di numerose trasformazioni. Alcuni dei fattori che hanno generato tali trasformazioni erano prevedibili, mentre altri, ad esempio la diffusione dell'uso di Internet e di connessioni permanenti a banda larga, nonché l'impiego sempre crescente di dispositivi informatici in campi diversi come quello della rivendita al dettaglio, delle automobili e del tempo libero, erano estremamente difficili da prevedere. Uno dei problemi da affrontare riguarda l'impiego, in molte organizzazioni, di versioni meno recenti del sistema operativo Microsoft® Windows® che oggi sono esposte al rischio di attacchi, un problema difficile da prevedere al tempo in cui queste versioni di Windows sono state progettate.

Le versioni più recenti del sistema operativo Windows assicurano un livello di protezione più elevato in quanto sono state progettate per neutralizzare gli attacchi più diffusi negli ambienti informatici attuali. Microsoft consiglia di aggiornare i sistemi operativi in esecuzione su client e server alle versioni più recenti per aumentare il livello di protezione delle reti di cui i sistemi fanno parte. Tuttavia, l'uso di versioni precedenti di Windows in applicazioni aziendali implementate su vasta scala (ad esempio sistemi di gestione di punti vendita e magazzini e client desktop di
filiali) indica che non tutte le organizzazioni sono in grado di aggiornare i propri sistemi in modo semplice e rapido. Il problema riguarda in modo particolare le organizzazioni che utilizzano un numero elevato di applicazioni personalizzate eseguite in versioni precedenti di Windows, in quanto le stesse applicazioni richiedono un aggiornamento e questa operazione presenta, in alcuni casi, notevoli difficoltà, quando non è addirittura impossibile.

Alle organizzazioni che non sono in grado di aggiornare tempestivamente tutti i propri sistemi, questa guida fornisce utili indicazioni e piani di verifica per aumentare (o rafforzare) la protezione di client e server che utilizzano versioni meno recenti di Windows. Questa guida è stata progettata con lo scopo di assicurare il massimo livello di protezione per i sistemi durante l'attuazione di piani di migrazione.

Seguendo i suggerimenti contenuti in questa guida, le organizzazioni possono ridurre il rischio di attacchi ai sistemi distribuiti. Ciononostante, è importante tenere presente che numerose funzioni di sicurezza presenti nelle versioni successive di Windows non saranno disponibili per tali sistemi. Le procedure illustrate nella guida consentono di aumentare il livello di protezione attuale, concedendo ai proprietari di sistemi meno recenti il tempo di pianificare una strategia di migrazione ottimale per le future distribuzioni. Questa guida, tuttavia, non va considerata come un'alternativa a una migrazione, opportunamente pianificata, a versioni di Windows più sicure.
Problemi in ambiente aziendale

Molte organizzazioni dipendono in modo esclusivo dall'integrità e dalla disponibilità dei propri sistemi informatici. La sicurezza in sé non viene generalmente considerata una funzione aziendale critica, tuttavia la sua importanza risiede nel fatto che le funzioni aziendali critiche vere e proprie di un'organizzazione dipendono dalla sicurezza. Gli aspetti da tenere nella massima considerazione in un ambiente aziendale includono:
•

La protezione di sistemi e dati da attacchi mirati o casuali. Molti attacchi vengono sferrati in modo casuale, ma ciò non li rende meno pericolosi. Le moderne funzioni aziendali devono essere in grado di proteggere le risorse identificando quelle più importanti e i rischi a cui sono esposte.
•

Il rafforzamento della sicurezza senza compromettere la compatibilità e mantenendo i costi sotto controllo. I responsabili IT identificano, in molti casi, il rafforzamento della sicurezza dei sistemi come un processo in cui gli elementi della compatibilità, dell'implementazione, dei costi di gestione e dell'aumento del livello di protezione sono inconciliabili. Per i sistemi meno recenti, spesso la compatibilità è prioritaria rispetto alla sicurezza. Le modifiche ai sistemi di protezione che interrompono la funzionalità delle applicazioni meno recenti possono avere un impatto serio e immediato sulla produttività aziendale e la qualità del servizio. Tuttavia, le organizzazioni devono tenere in considerazione anche le potenziali conseguenze derivanti da una protezione inadeguata delle risorse aziendali più importanti. Per individuare un compromesso ottimale tra le due opposte esigenze, è importante adottare un approccio alla sicurezza di tipo olistico e non considerarla un obiettivo che richiede solo alcune elementari modifiche ai sistemi.
•

La disponibilità di sistemi di protezione flessibili per gli utenti finali. In molti ambienti, garantire un adeguato livello di protezione risulta difficile poiché le misure di sicurezza inevitabilmente compromettono la praticità d'uso dei sistemi da parte degli utenti. I sistemi desktop con funzioni di gestione avanzate garantiscono un ottimo livello di protezione riducendo però la flessibilità degli utenti. I sistemi operativi desktop meno recenti sono meno facili da gestire e pertanto più difficili da proteggere.
•

La giustificazione dei costi sostenuti per la protezione dei sistemi. È estremamente difficile quantificare i costi finanziari effettivi per la mancata implementazione di misure di sicurezza adeguate fino a quando non si verifica una violazione dei sistemi. Da questo punto di vista, le spese sostenute per la protezione dei sistemi possono essere considerate come una forma di assicurazione. Tuttavia, come per le assicurazioni, i costi devono essere attentamente valutati a fronte dei vantaggi e del livello di protezione offerto, in particolare per i sistemi operativi per i quali sta per scadere il periodo di assistenza standard.
Vantaggi per le aziende

Il rafforzamento della sicurezza dei sistemi meno recenti può generare alcuni vantaggi immediati per l'azienda. Tali vantaggi includono:
•

Un migliore livello di protezione. Microsoft Windows NT® 4.0 e Windows 98 non supportano numerose funzioni di protezione sviluppate per Windows 2000, Microsoft Windows Server™ 2003 e Windows XP, ma è anche vero che la maggior parte delle organizzazioni che impiegano sistemi operativi meno recenti non utilizzano tutte le funzioni di protezione disponibili nei propri sistemi. Se invece di utilizzare solo le installazioni di base, infatti, si utilizza la gamma completa di funzioni dei sistemi operativi, è possibile aumentare considerevolmente il livello di protezione.
•

Maggiore sicurezza con meno spese. I suggerimenti contenuti in questa guida possono essere implementati prevalentemente senza costi aggiuntivi legati a software o a licenze. Ciononostante, le procedure illustrate consentono di aumentare sensibilmente la sicurezza dei sistemi. Il rapporto costi/benefici che è possibile ottenere grazie alle modifiche descritte nella guida è estremamente elevato.
•

Possibilità di aumentare il livello di protezione dei sistemi esistenti senza interromperne le funzionalità. Preservare la compatibilità delle applicazioni è importante ma rafforzare la sicurezza lo è altrettanto. Una scrupolosa applicazione dei suggerimenti contenuti nella guida consentirà di aumentare il livello di protezione senza compromessi in termini di compatibilità.
Destinatari della guida

I destinatari della guida sono gli architetti, gli amministratori e i responsabili IT, i responsabili dei processi decisionali e i consulenti coinvolti nella protezione di un'infrastruttura in cui i sistemi operativi Windows NT 4.0 e Windows 98 vengono ancora utilizzati.

Nota: questa guida è valida solo per i sistemi Windows 98 SR2 e Windows NT 4.0 Workstation e Server. Le procedure illustrate non possono essere applicate ad altre versioni di Windows (inclusi Windows NT versione 3.1 e 3.51, Windows 95, Windows Me e Windows 3.11).
Prerequisiti per i lettori

Le conoscenze e le competenze seguenti costituiscono i prerequisiti per gli amministratori o gli architetti incaricati dello sviluppo, dell'implementazione e della protezione delle installazioni di Windows NT versione 4.0 e Windows 98 in un'organizzazione:
•

Certificazione MCSE per Windows NT, Windows 2000 o Microsoft Windows Server 2003 con almeno due anni di esperienza nel settore della sicurezza dei sistemi informatici.
•

Conoscenza approfondita della struttura dei domini aziendali (incluso il servizio directory Microsoft Active Directory®, se implementato).
•

Uso degli strumenti di gestione Windows, inclusi l'Editor dei criteri di sistema di Windows NT (Poledit), Microsoft Management Console (MMC) e Security Configuration Manager (SCM).
•

Esperienza nell'installazione delle applicazioni e delle workstation in ambiente aziendale.
•

Conoscenza delle applicazioni specifiche del proprio ambiente aziendale.
Inizio paginaInizio pagina
Panoramica sulla guida

Questa guida descrive il processo di rafforzamento della protezione di reti e computer in ambienti che impiegano computer con versioni meno recenti del sistema operativo Windows. Le organizzazioni possono disporre di diverse combinazioni di computer che eseguono Windows NT 4.0 (Workstation, Server e Advanced Server) e Windows 98, con o senza versioni successive di client o server Windows. La guida esamina, in particolare, le misure di sicurezza che è possibile implementare per i client Windows NT 4.0 Workstation e Windows 98 e i server membro Windows NT 4.0 in un dominio del servizio directory Active Directory per aumentarne il livello di protezione.

La guida è costituita da otto capitoli, raggruppati in due sezioni. La prima sezione è composta da due capitoli, il Capitolo 1 "Introduzione" e il Capitolo 2 "Applicazione della disciplina della gestione dei rischi di protezione allo scenario Trey Research", destinati entrambi ai dirigenti e ai responsabili IT di qualsiasi livello.

Capitolo 1: Introduzione

Il Capitolo 1 contiene un riepilogo generale, illustra i problemi e i vantaggi relativi alla sicurezza dei sistemi aziendali meno recenti, indica a quale tipo di utenti si rivolge la guida e i prerequisiti per la comprensione degli argomenti trattati e offre una panoramica dei capitoli e degli scenari di soluzione contenuti nella guida.

Capitolo 2: Applicazione della disciplina della gestione dei rischi di protezione allo scenario Trey Research

In questo capitolo viene descritto in dettaglio lo scenario di un'azienda al fine di sviluppare le raccomandazioni riportate in questa guida e viene illustrato il modo in cui il personale IT valuta le vulnerabilità e i rischi di protezione di un'infrastruttura di rete. Trey Research, l'azienda fittizia protagonista di questo scenario, ha la sede centrale a Seattle e filiali in diversi stati degli USA. Il capitolo descrive inoltre come il personale IT può identificare i rischi e le vulnerabilità della propria organizzazione definendone le priorità al fine di generare requisiti di protezione su cui basare un piano d'azione per la riduzione dei rischi per la protezione.

La seconda sezione della guida comprende sei capitoli di informazioni prescrittive destinate ad amministratori IT e responsabili tecnici. Ogni capitolo è caratterizzato, all'inizio, da una discussione sui principi e le opzioni di progettazione e, successivamente, dalla spiegazione sulle misure di potenziamento adottate per lo scenario in questione.

Capitolo 3: Protezione avanzata e sicurezza della rete

Questo capitolo descrive le vulnerabilità della rete e le procedure da seguire per aumentare la protezione dei componenti di rete (inclusi i computer client e server) contro tali vulnerabilità. Il capitolo analizza la segmentazione della rete, il rafforzamento delle protezioni dello stack TCP/IP (Transmission Control Protocol/Internet Protocol) e l'uso di firewall personali per la protezione dei client.

Capitolo 4: Protezione avanzata di Windows NT 4.0

Questo capitolo spiega come rafforzare la protezione di Windows NT 4.0 (Workstation e Server) creando una linea di base per il sistema e successivamente applicando misure di potenziamento specifiche. Viene inoltre spiegata l'importanza della sicurezza fisica e i metodi per implementarla, nonché le procedure e le tecniche di applicazione di criteri di protezione per i file, la stampa, il Web e i server applicazioni. Inoltre, il capitolo illustra le conseguenze di ogni approccio alla protezione e termina con la descrizione accurata dei criteri di potenziamento più vantaggiosi per Trey Research.

Capitolo 5: Protezione avanzata di Windows 98

Questo capitolo spiega come rafforzare le applicazioni e i client Windows 98 e descrive i metodi per applicare le patch, gli aggiornamenti e i criteri di protezione nei computer che eseguono Windows 98.

Capitolo 6: Gestione delle patch

Uno dei metodi migliori per proteggere il sistema da eventuali attacchi è mantenere l'ambiente sempre aggiornato, applicando tutte le patch di protezione necessarie. Le patch vanno applicate sia a livello server che a livello client. Questo capitolo spiega come individuare tempestivamente nuove patch disponibili, implementarle in maniera rapida e affidabile in tutta l'organizzazione e verificare che siano distribuite ovunque sia necessario. Vengono anche illustrati i rischi di compromissione associati all'implementazione della gestione delle patch e alla fine viene riportata una descrizione dettagliata del sistema di gestione delle patch di Trey Research.

Capitolo 7: Protezione antivirus

Questo capitolo descrive l'importanza dei criteri e dei software antivirus oltre alla sicurezza e alla supportabilità delle soluzioni antivirus basate su server e su client.

Capitolo 8: Conclusione

Il capitolo conclusivo fornisce un breve riepilogo sulle procedure di potenziamento descritte.
Scenario della soluzione

La soluzione viene esaminata nell'ambito di Trey Research, un'azienda che opera nel settore dell'ingegneria ambientale, con sede a Seattle. Trey dispone di 55 server e 500 dipendenti, ripartiti nelle diverse filiali dell'azienda in Georgia, Florida, Arizona, Pennsylvania e nello stato di Washington. Sui server di Trey Research vengono eseguite numerose applicazioni personalizzate, incluse applicazioni per il controllo delle apparecchiature per i test di laboratorio e le misurazioni, applicazioni di database basate su Microsoft SQL Server™ e applicazioni per la collaborazione basate su Microsoft Exchange versione 5.5. La sicurezza della rete perimetrale è fornita da una combinazione hardware firewall/router. Il software antivirus è implementato su alcuni computer, ma non in modo uniforme.

Gli utenti finali utilizzano i computer per applicazioni per la produttività aziendale, per l'accesso a Internet, per l'uso della posta elettronica, per l'accesso remoto a servizi specialistici (incluso Chemical Abstracts Service) e per il controllo remoto di apparecchiature di misurazione e di laboratorio. Le applicazioni personalizzate utilizzate dai dipendenti Trey includono, ad esempio, applicazioni ASP (Active Server Page) basate sul Web e applicazioni create tramite FoxPro per Microsoft MS-DOS® e Microsoft Access 95. In alcuni casi, il codice sorgente originale dell'applicazione è andato perduto e, pertanto, il porting delle applicazioni non può essere eseguito se non ricreando completamente il codice.