Soluzione free/Open Source al provvedimento del garante privacy sugli Amministratori di sistema

Come molti di voi sapranno il 15 Dicembre 2009 è entrato in vigore  il provvedimento del garante che prevede la registrazione e la conservazione per almeno 6 mesi dei log di accesso degli amministratori di sistema.
Non è questa la sede per discutere della bontà o meno del provvedimento ma in soldoni il garante intende regolamentare, nelle aziende, gli accessi ai sistemi di elaborazione e agli archivi elettronici da parte degli amministratore di sistema (ads) , in quanto questa figura professionale possiede, per sua natura tecnica, particolari privilegi per accedere a qualunque sistema e apparato informatico presente in azienda.
Non mi propongo assolutamente come esperto in materia di privacy anzi, ma visto che occorre adeguarsi al provvedimento e la cosa mi tocca molto da vicino essendo ads io stesso, ho cercato una soluzione gratuita e possibilmente open source che soddisfi almeno i requisiti minimi di tale provvedimento.
Facendo una ricerca sulla rete ho “intuito” che molte delle soluzioni commerciali proposte non erano altro che sistemi open source maccheronati e mascherati venduti però a peso d’oro alle aziende.

Inizialmente avevo pensato di utilizzare un server linux dotato di rsyslog per la ricezione e l’archiviazione dei log ma poi ho optato per una soluzione che utilizzi per la parte server il prodotto “Splunk“.
Splunk è un soluzione di log management, disponibile per Linux, Windows, Osx, Solaris  e FreeBSD, che gestisce veramente una vasta gamma di tipologia di log ed è gestibile interamente tramite un’interfaccia web molto intuitiva e potente.

E’ utilizzabile gratuitamente con una limitazione di 500 Megabytes giornalieri di archiviazione, una quota più che sufficiente per la gestione dei log dell’adm.
Inoltre Splunk rispetta i requisiti del provvedimento in termini di inalterabilità dei log in quanto una volta acquisito il file di log esso viene indicizzato, trasferito sul proprio repository e certificato aggiungendo al file il riferimento temporale qualora non fosse presente.
Per la parte client, visto la maggioranza in azienda di macchine windows, ho scelto “Snare Agent for Windows” un pacchetto open source che installa un servizio di log degli eventi di windows ed è amministrabile tramite una pagina web.
Proseguiamo con la realizzazione del sistema sia lato server che client.

Step 1. Lato server : installazione e configurazione di Splunk
Come già detto splunk è disponibile sia per Windows sia per Linux e,  inutile dirlo, ho scelto di installarlo su una macchina Linux (virtuale si intende!) con Ubuntu 9.10 a 32 bit.
Qui sono disponibili i pacchetti di installazione.
Una volta scaricato il pacchetto “splunk-4.x.x.x-linux-2.6-intel.deb” lanciarlo e installarlo tramite il gestore di pacchetti di Ubuntu.
Ora collegatevi con utente root al terminale e lanciate splunk con il seguente comando:

/opt/splunk/ bin/splunk start

per impostare splunk all’avvio dal boot :

/opt/bin/splunk enable boot-start

si otterà:
Checking prerequisites…
Checking http port [8000]: open
Checking mgmt port [8089]: open
Checking configuration…  Done.
Checking index directory…  Done.
Checking databases…
Validated databases: _audit, _blocksignature, _internal, _thefishbucket, history, main, sample, splunklogger, summary
All preliminary checks passed.

Starting splunk server daemon (splunkd)… Done.
Starting splunkweb… Done.

If you get stuck, we’re here to help.
Look for answers here: http://www.splunk.com/base/Documentation

The Splunk web interface is at http://nomeserver:8000

Occorre collegarsi via web ad http://nomeserver:8000 per la maschera di login:

L’utente è “admin” con password “changeme”…inutile dire che va cambiata!

Nella schermata principale trovate il tab “Browse application” dove è possibile aggiungere il modulo “Splunk for Windows” per gestire i log provenienti da macchine Microsoft.

Una volta installata l’applicazione occorre aggiungere la porta d’ascolto per i log.
In alto a destra tasto “Manager” dopodiché cliccare su “Data Inputs”.

Ora dobbiamo aggiungere la porta di ascolto a cui lo Snare agent di windows manda i log: tale porta è la 514  del protocollo UDP.
Quindi cliccare “add new” in corrispondenza della voce “UDP”:

Ora alla voce “UDP port” scrivere 514 e in “set soucetype” scegliere la voce “from list” e dall’elenco in “Select source type from list” selezionare la voce “windows_snare_syslog” come da figura sotto.

Ora Splunk è in grado di ricevere i log dai client windows dallo snare agent che andiamo adesso a installare e configurare.

NB  Dopo 60 gg la Licenza di Splunk si tramuta da Enterprise a Free e non gestice più l’accesso tramite username e password (access control).
Si può ovviare a questo utilizzando un proxy come indicato in quest’altro mio post (leggere in fondo commento n.4)

Step 2. Lato client : installazione e configurazione di Snare Agent for Windows.
Scaricare dal sito intersectalliance il pacchetto per windows relativo alla propria versione.
Una volta installato collegarsi via browser alla pagina di configurazione di snare agent all’indirizzo http://localhost:6161/

Occorre configurare la porta di invio dei log che troviamo nel menù a sinistra “Network configuration” e configurare nel modo seguente (vedi figura sotto):

• “Destination Snare Server address” –>inserire l’IP della macchina su cui è installato Splunk.
• “Destination Port” –> 514
• Spuntare la voce “Enable SYSLOG Header?”
• in “SYSLOG Facility” selezionare la voce  “Auth”
• “SYSLOG Priority”     selezionare la voce  “Notice

Rimane solamente da creare un filtro sugli eventi che si intende registrare e inviare al server.
Cliccare sul menù di sinistra la voce “Objectives configuration” e si troveranno la lista degli oggetti di cui viene tenuta traccia.

In questo caso relativo solo al login e logout dell’utente administrator ho cancellato tutti gli oggetti creandone uno nuovo che faccia al caso nostro.

In questo modo vengono memorizzati gli eventi di login/logout dell’utente inserito tra asterischi nel campo” User search term” selezionando tutti gli eventi della categoria “Security”.
Ora se torniamo sull’interfaccia di splunk e nella finestra dell’applicativo “Splunkforwindows” possiamo digitare nella barra di ricerca il nome o il suo indirizzo ip della macchina windwos di cui vogliamo controllare il log e filtrare  l’intervallo temporale che interessa.

NB: Questa soluzione non assicura che eventuali problemi di rete impediscano la buona riuscita delle registrazioni dei log dal client al server in quanto il protocollo UDP è  si veloce a livello di trasporto  e implica una minore congestione della rete rispetto al TCP  ma non si occupa del riordinamento dei pacchetti né della ritrasmissione di quelli persi.
L’UDP è un protocollo stateless, ovvero non tiene nota dello stato della connessione, dunque ha rispetto al TCP informazioni in meno da memorizzare. Un server dedicato ad una particolare applicazione che scelga UDP come protocollo di trasporto può supportare molti più client attivi.

Ora che il sistema è in piedi rimane da gestire l’archiviazione sicura dei file di log e in merito il Garante impone solo un tempo minimo di archiviazione di 6 mesi.
Una soluzione percorribile  è la possibilità manuale di esportare i log per ogni singola macchina dal menù:
“Action –>export Result” e mensilmente salvare i log dopo averli crittografati, con tanti programmi open source in giro per la rete, e conservandoli per almeno sei mesi.
I dati e le password sia di accesso a splunk che le password della crittografia dei log salvati andrebbero lasciati gestire al responsabile della privacy nominato in azienda che deve provvedere a cambiarle per non renderle note all’adm.
Questa guida non rappresenta “LA” soluzione ma una delle tante possibili che rispetta i requisiti minimi del provvedimento che invito ad approfondire consultando anche con le faq rilasciate del garante stesso.

Ecco alcuni link ad altre soluzioni:
http://blog.maurizio.proietti.name/2009/10/29/provvedimento-del-garante-sugli-amministratori-di-sistema/
http://blog.solution.it/soluzione-open-source-per-log-amministratori-di-sistema/

Sono graditissimi commenti su come migliorare questa soluzione e discussioni/valutazioni di soluzioni alternative.
IZ