Harden-doc 3.19 - en to it translation catalogue (90 entries)

en: Before the compromise
it: Prima della compromissione

en: Keep your system secure
it: Mantenere sicuro il proprio sistema

en: You should strive to keep your system secure by monitoring its usage and also the vulnerabilities that might affect it, patching them as soon as patches are available. Even though you might have installed a really secure system initially you have to remember that security in a system degrades with time, security vulnerabilities might be found for exposed system services and users might expose the system security either because of lack of understanding (e.g. accessing a system remotely with a clear-text protocol or using easy to guess passwords) or because they are actively trying to subvert the system's security (e.g. install additional services locally on their accounts).
it: Dovreste sempre sforzarvi di mantenere il vostro sistema sicuro controllandone l'uso che ne viene fatto e le sue possibili vulnerabilità; tali vulnerabilità andrebbero poi eliminate installando gli aggiornamenti di sicurezza non appena sono disponibili. Anche se siete convinti della robustezza del vostro sistema appena installato, va ricordato che la sicurezza di un sistema si degrada nel tempo, poiché potrebbero venire scoperte nuove vulnerabilità nei servizi offerti dal proprio sistema agli utenti, anche questi ultimi potrebbero compromettere la sicurezza del sistema per scarse cognizioni tecniche (ad esempio, potrebbero accedere al sistema da remoto usando un protocollo di comunicazione non cifrato, o usando delle password banali e dunque facili da indovinare) o perché mirano esplicitamente a compromettere la sicurezza del sistema (per esempio, installano dei servizi aggiuntivi sul sistema usando le risorse del sistema che sono state loro concesse).

en: Tracking security vulnerabilities
it: Mantenersi aggiornati sulle vulnerabilità di sicurezza

en: Although most administrators are aware of security vulnerabilities affecting their systems when they see a patch that is made available you can strive to keep ahead of attacks and introduce temporary countermeasures for security vulnerabilities by detecting when your system is vulnerable. This is specially true when running an exposed system (i.e. connected to the Internet) and providing a service. In such case the system's administrators should take care to monitor known information sources to be the first to know when a vulnerability is detected that might affect a critical service.
it: Sebbene molti amministratori di sistema vengano a conoscenza di una vulnerabilità del sistema solo quando un aggiornamento diventa disponibile, sarebbe meglio venire a conoscenza delle vulnerabilità di sicurezza il prima possibile, per prevenire gli attacchi, introducendo delle contromisure di emergenza. Ciò è particolarmente utile nel caso in cui stiate amministrando un sistema esposto (ossia connesso ad Internet) che fornisce un servizio. In tal caso gli amministratori di sistema dovrebbero controllare regolarmente delle fonti di informazioni fidate relative alla sicurezza, così da venire a conoscenza il prima possibile se un servizio critico del sistema (o che comunque potrebbe avere degli effetti indesiderati su di esso) è affetto da vulnerabilità.

en: Concious administrators can use that information to determine which security bugs might affect the system they are managing, determine the severity of the bug and apply (if available) temporary countermeasures before a patch is available fixing this issue.
it: Un amministratore di sistema scrupoloso dovrebbe usare tali informazioni per determinare le falle nella sicurezza del sistema che sta amministrando, determinare la pericolosità di tali falle ed applicare (se possibile) delle contromisure temporanee fintantoché non venga rilasciato un aggiornamento di sicurezza che risolva il problema.

en: Security issues tracked for releases supported by the Debian Security Team should eventually be handled through Debian Security Advisories (DSA) and will be available for all users (see <xref linkend="keep-up-to-date" />). Once security issues are fixed through an advisory they will not be available in the tracker, but you will be able to search security vulnerabilities (by CVE name) using the <ulink name="security cross references table" url="http://www.debian.org/security/crossreferences" /> available for published DSAs.
it: I problemi relativi alla sicurezza, individuati per le versioni di Debian di cui il Team Debian per la Sicurezza si occupa ancora, verranno pubblicati negli avvisi Debian per la sicurezza e i conseguenti aggiornamenti saranno disponibili per tutti gli utenti (vedete al riguardo <xref linkend="keep-up-to-date" />). Una volta che gli aggiornamenti di sicurezza vengono pubblicati, l'avviso corrispondente viene cancellato dall'archivio, ma è ancora possibile ottenere dettagli sulla vulnerabilità di sicurezza, identificata col suo nome CVE, usando la <ulink name="tabella dei riferimenti incrociati" url="http://www.debian.org/security/crossreferences" /> che collega gli avvisi Debian ai dati sulle vulnerabilità forniti dal CVE.

en: Notice, however, that the information tracked by the Debian Testing Security Team only involves disclosed vulnerabilities (i.e. those already public). In some occasions the Debian Security Team might be handling and preparing DSAs for packages based on undisclosed information provided to them (for example, through closed vendor mailing lists or by upstream maintainers of software). So do not be surprised to find security issues that only show up as an advisory but never get to show up in the security tracker.
it: Notate, comunque, che il Team per la Sicurezza di Debian Testing gestisce solo vulnerabilità note al pubblico. In alcune occasione invece il Team Debian per la Sicurezza (fate attenzione che sono due entità separate) potrebbe preparare degli Avvisi Debian sulla Sicurezza (l'acronimo inglese di tali documenti è DSA) in base ad informazioni riservate (che gli sono state fornite ad esempio da mailing list private del produttore o da alcuni dei manutentori del software in via confidenziale). Pertanto alcuni problemi di sicurezza, sebbene descritti e risolti tramite un DSA, potrebbero non essere presenti nell'archivio.

en: Continuously update the system
it: Aggiornare continuamente il sistema

en: Manually checking which security updates are available
it: Controllo manuale degli aggiornamenti di sicurezza disponibili

en: Debian does have a specific tool to check if a system needs to be updated but many users will just want to manually check if any security updates are available for their system.
it: Debian ha uno strumento apposito per verificare se un sistema deve essere aggiornato, ma molti utenti vorranno semplicemente controllare manualmente se sono disponibili aggiornamenti di sicurezza per il loro sistema.

en: If you have configured your system as described in <xref linkend="security-update" /> you just need to do:
it: Se avrete configurato il sistema come descritto in <xref linkend="security-update" />, basterà dare il comando:

en: And restart those services whose libraries have been updated if any. Note: Read <xref linkend="security-update" /> for more information on library (and kernel) upgrades.
it: e riavviare quei servizi le cui librerie sono state aggiornate. Notate: leggete in <xref linkend="security-update" /> per altre informazioni sugli aggiornamenti delle librerie (e del kernel).

en: The first line will download the list of packages available from your configured package sources. The <literal>-s</literal> will do a simulation run, that is, it will <emphasis>not</emphasis> download or install the packages but rather tell you which ones should be downloaded/installed. From the output you can derive which packages have been fixed by Debian and are available as a security update. Sample:
it: La prima riga scaricherà l'elenco dei pacchetti disponibili tra quelli presenti sul sistema e configurati. L'opzione <literal>-s</literal> simulerà l'esecuzione, cioè <emphasis>non</emphasis> scaricherà o installerà i pacchetti, ma piuttosto, comunicherà quali dovrebbero essere scaricati/installati. Dal risultato si potrà dedurre quali pacchetti siano stati corretti da Debian e siano disponibili come aggiornamento di sicurezza. Per esempio:

en: Notice that you will need to reboot your system if there has been a kernel upgrade.
it: Notate che il sistema dovrà essere riavviato nel caso vi sia stato un aggiornamento del kernel.

en: Checking for updates at the Desktop
it: Controllo degli aggiornamenti dal Desktop

en: In a stable system updates are only available when a security patch is available or at point releases. Consequently, if the system is properly configured to receive security updates as described in <xref linkend="security-update" /> and you have a cron task running to update the package information you will be notified through an icon in the desktop notifcation area.
it: In un sistema stabile gli aggiornamenti sono disponibili solo quando viene rilasciata una patch di sicurezza o al momento dei nuovi rilasci. Di conseguenza, se il sistema è configurato per ricevere gli aggiornamenti di sicurezza, come descritto in <xref linkend="security-update" /> e c'è un'istanza di cron che aggiorna le informazioni dei pacchetti, verrete informati attraverso un'icona dell'area di notifica del desktop.

en: The notification is not intrusive and users are not forced to install updates. From the notification icon a desktop user (with the administrator's password) can access a simple GUI to show available updates and install them.
it: La notifica non è intrusiva e gli utenti non sono obbligati ad installare gli aggiornamenti. Dall'icona di notifica un utente del desktop (con la password di amministratore) può accedere ad una semplice interfaccia grafica per vedere quali sono gli aggiornamenti disponibili ed installarli.

en: This application works by checking the package database and comparing the system with its contents. If the package database is updated periodically through a <command>cron</command> task then the contents of the database will be newer than the packages installed in the system and the application will notify you.
it: Questa applicazione funziona controllando il database dei pacchetti e comparando il sistema con il suo contenuto. Se il database dei pacchetti viene aggiornato periodicamente attraverso un'istanza di <command>cron</command>, allora il contenuto del database sarà più nuovo dei pacchetti installati nel sistema e quindi una applicazione lo notificherà.

en: <command>Apt</command> installs such a task (<filename>/etc/cron.d/apt</filename>) which will run based on Apt's configuration (more specifically <emphasis>APT::Periodic</emphasis>). In the GNOME environment this configuration value can be adjusted by going to System &gt; Admin &gt; Software origins &gt; Updates, or running <command>/usr/bin/software-properties</command>.
it: <command>Apt</command> installa un compito (<filename>/etc/cron.d/apt</filename>) che verrà eseguito a seconda della configurazione di Apt (più nello specifico <emphasis>APT::Periodic</emphasis>). Nell'ambiente GNOME questo valore di configurazione può essere modificato in Sistema &gt; Amministrazione &gt; Sorgenti Software &gt; Aggiornamenti, o eseguendo <command>/usr/bin/software-properties</command>.

en: If the system is set to download the packages list daily but not download the packages themselves your <filename>/etc/apt/apt.conf.d/10periodic</filename> should look like this:
it: Se il sistema è configurato per scaricare la lista dei pacchetti quotidianamente ma non per scaricare i pacchetti stessi, il file <filename>/etc/apt/apt.conf.d/10periodic</filename> dovrebbe avere questo aspetto:

en: Automatically checking for updates with cron-apt
it: Controllo automatico degli aggiornamenti con cron-apt

en: Notice that you might want to check the distribution release, as described in <xref linkend="check-releases" />, if you intend to automatically updated your system (even if only downloading the packages). Otherwise, you cannot be sure that the downloaded packages really come from a trusted source.
it: Se volete aggiornare automaticamente il vostro sistema (anche solo scaricandone i pacchetti), controllate la versione della distribuzione, come descritto in <xref linkend="check-releases" />; in mancanza di questo controllo, non potrete essere sicuri che i pacchetti provengano da una fonte fidata.

en: More information is available at the <ulink name="Debian Administration site" url="http://www.debian-administration.org/articles/162" />.
it: Ulteriori informazioni sono disponibili presso il sito <ulink name="Debian Administration" url="http://www.debian-administration.org/articles/162" />.

en: Automatically checking for security issues with debsecan
it: Individuazione automatica dei problemi di sicurezza con debsecan

en: Notice, however, that the Security Team tracks many vulnerabilities including low-risk issues which might not be fixed through a security update and some vulnerabilities initially reported as affecting Debian might, later on, upon investigation, be dismissed. <command>Debsecan</command> will report on all the vulnerabilities, which makes it a quite more verbose than the other tools described above.
it: Notate, comunque, che il Team Debian per la sicurezza esamina molte vulnerabilità, incluse quelle a basso rischio che potrebbero essere ignorate e non essere mai risolte tramite un aggiornamento di sicurezza; alcune vulnerabilità che inizialmente sono state identificate come riguardanti anche Debian, potrebbero, in futuro, dopo ulteriori accertamenti, essere invece completamente irrilevanti per Debian. <command>Debsecan</command> elenca tutte queste vulnerabilità, tendendo a fornire dei risultati molto più lunghi da leggere degli altri strumenti descritti in precedenza.

en: Other methods for security updates
it: Altri metodi per effettuare aggiornamenti per la sicurezza

en: Avoid using the unstable branch
it: Evitare di usare il ramo instabile

en: The fact is that some security issues might appear in unstable and <emphasis>not</emphasis> in the <emphasis>stable</emphasis> distribution. This is due to new functionality constantly being added to the applications provided there, as well as new applications being included which might not yet have been thoroughly tested.
it: Il fatto è che alcuni problemi di sicurezza potrebbero apparire nella distribuzione <emphasis>unstable</emphasis> e <emphasis>non</emphasis> nella <emphasis>stable</emphasis>. Questo è dovuto alle nuove funzionalità costantemente aggiunte alle applicazioni lì fornite, come anche a nuove applicazioni che vengono incluse senza aver passato un collaudo approfondito.

en: In order to do security upgrades in the <emphasis>unstable</emphasis> branch, you might have to do full upgrades to new versions (which might update much more than just the affected package). Although there have been some exceptions, security patches are usually only back ported into the <emphasis>stable</emphasis> branch. The main idea being that between updates, <emphasis>no new code</emphasis> should be added, just fixes for important issues.
it: Per quanto riguarda l'eseguire aggiornamenti di sicurezza nel ramo <emphasis>unstable</emphasis>, dovreste aggiornare completamente alle nuove versioni (che vengono aggiornate più dei pacchetti in questione). Sebbene ci siano alcune eccezioni, solamente le patch di sicurezza vengono riportate nel ramo <emphasis>stable</emphasis>. L'idea di fondo è che tra gli aggiornamenti non venga aggiunto <emphasis>nuovo codice</emphasis>, ma che vengano solamente risolti i problemi importanti per la sicurezza.

en: Notice, however, that you can use the security tracker (as described in <xref linkend="track-vulns" />) to track known security vulnerabilities affecting this branch.
it: Notate che, comunque potete ancora usare l'archivio delle vulnerabilità di sicurezza (come descritto in <xref linkend="track-vulns" />) per scoprire quali vulnerabilità riguardino la versione di Debian che state usando.

en: Security support for the testing branch
it: Supporto alla sicurezza per il ramo testing

en: If you are using the <emphasis>testing</emphasis> branch, there are some issues that you must take into account regarding the availability of security updates:
it: Se usate il ramo <emphasis>testing</emphasis>, ci sono alcuni aspetti da tenere in considerazione sulla disponibilità degli aggiornamenti di sicurezza:

en: When a security fix is prepared, the Security Team backports the patch to <emphasis>stable</emphasis> (since stable is usually some minor or major versions behind). Package maintainers are responsible for preparing packages for the <emphasis>unstable</emphasis> branch, usually based on a new upstream release. Sometimes the changes happen at nearly the same time and sometimes one of the releases gets the security fix before. Packages for the <emphasis>stable</emphasis> distribution are more thoroughly tested than <emphasis>unstable</emphasis>, since the latter will in most cases provide the latest upstream release (which might include new, unknown bugs).
it: Quando è pronta una correzione di sicurezza, il Team per la Sicurezza appronta il backport della patch a <emphasis>stable</emphasis> (in quanto stable di solito è indietro di qualche versione, minore o maggiore). I manutentori del pacchetto sono responsabili della preparazione dei pacchetti per il ramo <emphasis>unstable</emphasis>, di solito basati su una letteralmente nuova versione. A volte le modifiche avvengono quasi in contemporanea e altre volte uno dei due rami riceve la correzione di sicurezza prima dell'altro. I pacchetti per la distribuzione <emphasis>stable</emphasis> sono soggetti ad un controllo più approfondito di quelli per <emphasis>unstable</emphasis>, in quanto quest'ultima contiene perlopiù la versione più recente (che potrebbe includere nuovi bug ancora sconosciuti).

en: Security updates are available for the <emphasis>unstable</emphasis> branch usually when the package maintainer makes a new package and for the <emphasis>stable</emphasis> branch when the Security Team make a new upload and publish a DSA. Notice that neither of these change the <emphasis>testing</emphasis> branch.
it: Gli aggiornamenti di sicurezza sono normalmente disponibili per il ramo <emphasis>unstable</emphasis> quando il manutentore del pacchetto crea un nuovo pacchetto e per il branch <emphasis>stable</emphasis> quando il Team per la Sicurezza fa un nuovo caricamento e pubblica un DSA. Notate che nessuno di questi due cambia il ramo di <emphasis>testing</emphasis>.

en: If no (new) bugs are detected in the <emphasis>unstable</emphasis> version of the package, it moves to <emphasis>testing</emphasis> after several days. The time this takes is usually ten days, although that depends on the upload priority of the change and whether the package is blocked from entering <emphasis>testing</emphasis> by its dependency relationships. Note that if the package is blocked from entering testing the upload priority will not change the time it takes to enter.
it: Se nessun (nuovo) errore viene scoperto nella versione <emphasis>unstable</emphasis> del pacchetto, questo si sposta nel ramo <emphasis>testing</emphasis> dopo diversi giorni. Il tempo che occorre per questo procedimento di solito è dieci giorni, anche se dipende dalla priorità di caricamento del cambiamento e se il pacchetto viene bloccato dall'ingresso nel ramo <emphasis>testing</emphasis> dalle sue relazioni di dipendenza. Notate che se il pacchetto viene bloccato dall'entrata in <emphasis>testing</emphasis> la priorità di caricamento non modificherà il tempo che gli occorre per entrare.

en: This behavior might change based on the release state of the distribution. When a release is almost imminent, the Security Team or package maintainers might provide updates directly to testing.
it: Questo comportamento può cambiare in base allo stato di rilascio della distribuzione. Quando un rilascio è quasi imminente, il Team per la Sicurezza o i manutentori del pacchetto possono fornire degli aggiornamenti direttamente al ramo <emphasis>testing</emphasis>.

en: Users willing to take advantage of this support should add the following lines to their <filename>/etc/apt/sources.list</filename> (instead of the lines described in <xref linkend="security-update" />):
it: Gli utenti che volessero usufruire di questo supporto devono aggiungere le seguenti righe al loro <filename>/etc/apt/sources.list</filename> (invece delle righe descritte in <xref linkend="security-update" />):

en: Automatic updates in a Debian GNU/Linux system
it: Aggiornamento automatico in un sistema Debian GNU/Linux

en: First of all, automatic updates are not fully recommended, since administrators should review the DSAs and understand the impact of any given security update.
it: Per cominciare, gli aggiornamenti automatici non sono del tutto consigliabili, visto che gli amministratori dovrebbero leggere gli annunci DSA e comprendere l'impatto di ogni aggiornamento di sicurezza.

en: If you want to update your system automatically you should:
it: Se volete aggiornare automaticamente il vostro sistema occorre:

en: FIXME: verify if this configuration is OK.
it: FIXME: verificare se questa configurazione è corretta.

en: The <literal>-y</literal> option will have <command>apt</command> assume 'yes' for all the prompts that might arise during the update. In some cases, you might want to use the <literal>--trivial-only</literal> option instead of the <literal>--assume-yes</literal> (equivalent to <literal>-y</literal>).<footnote><para>You may also want to use the <literal>--quiet</literal> (<literal>-q</literal>) option to reduce the output of <command>apt-get</command>, which will stop the generation of any output if no packages are installed.</para></footnote>
it: L'opzione <literal>-y</literal> farà in modo che <command>apt</command> risponda automaticamente 'yes' a tutte le domande che possono essere poste durante l'aggiornamento. In alcuni casi può essere preferibile usare l'opzione <literal>--trivial-only</literal> invece di quella <literal>--assume-yes</literal> (equivalente a <literal>-y</literal>)<footnote><para>Potreste anche utilizzare l'opzione <literal>--quiet</literal> (<literal>-q</literal>) per ridurre l'output di <command>apt-get</command>, in modo da non mostrare alcun output se non vengono installati pacchetti.</para></footnote>.

en: Configure <command>debconf</command> so no questions will be asked during upgrades, so that they can be done non-interactively. <footnote><para>Note that some packages might <emphasis>not</emphasis> use <command>debconf</command> and updates will stall due to packages asking for user input during configuration.</para></footnote>
it: Configurare <command>debconf</command> in modo che non ponga nessuna domanda durante l'aggiornamento; in questo modo l'aggiornamento non è interattivo<footnote><para>Bisogna ricordare che alcuni pacchetti potrebbero <emphasis>non</emphasis> utilizzare <command>debconf</command> e l'aggiornamento potrebbe bloccarsi a causa dei pacchetti che richiedono un input da parte dell'utente durante la configurazione.</para></footnote>.

en: Check the results of the <command>cron</command> execution, which will be mailed to the superuser (unless changed with <literal>MAILTO</literal> environment variable in the script).
it: Controllare i risultati dell'esecuzione di <command>cron</command>, che verranno spediti al superutente (a meno che <command>cron</command> non sia stato configurato diversamente con la variabile <literal>MAILTO</literal> nell'apposito script).

en: A safer alternative might be to use the <literal>-d</literal> (or <literal>--download-only</literal>) option, which will download but not install the necessary packages. Then if the <command>cron</command> execution shows that the system needs to be updated, it can be done manually.
it: Un'alternativa più sicura potrebbe essere usare l'opzione <literal>-d</literal> (o <literal>--download-only</literal>), che scaricherà ma non installerà i pacchetti necessari. L'aggiornamento verrà eseguito manualmente se l'esecuzione di <command>cron</command> mostrerà che il sistema deve essere aggiornato.

en: In order to accomplish any of these tasks, the system must be properly configured to download security updates as discussed in <xref linkend="security-update" />.
it: Per eseguire questi compiti, il sistema deve essere propriamente configurato per scaricare gli aggiornamenti di sicurezza come visto in <xref linkend="security-update" />.

en: However, this is not recommended for <emphasis>unstable</emphasis> without careful analysis, since you might bring your system into an unusable state if some serious bug creeps into an important package and gets installed in your system. <emphasis>Testing</emphasis> is slightly more <emphasis>secure</emphasis> with regard to this issue, since serious bugs have a better chance of being detected before the package is moved into the testing branch (although, you may have <emphasis>no</emphasis> security updates available whatsoever).
it: Ad ogni modo questo procedimento non è consigliabile per <emphasis>unstable</emphasis>, senza prima aver effettuato un'accurata analisi, perché potrebbe rendere il sistema inusabile se qualche bug pericoloso si insinuasse in un pacchetto importante e venisse installato nel sistema. <emphasis>Testing</emphasis> è un po' più <emphasis>sicura</emphasis> da questo punto di vista, dal momento che le possibilità di scoprire i bug più gravi prima che il pacchetto sia inserito in testing sono maggiori (tuttavia potreste <emphasis>non</emphasis> avere alcun aggiornamento di sicurezza disponibile, in questo caso).

en: If you have a mixed distribution, that is, a <emphasis>stable</emphasis> installation with some packages updated to <emphasis>testing</emphasis> or <emphasis>unstable</emphasis>, you can fiddle with the pinning preferences as well as the <literal>--target-release</literal> option in <command>apt-get</command> to update <emphasis>only</emphasis> those packages that you have updated.<footnote><para>This is a common issue since many users want to maintain a stable system while updating some packages to <emphasis>unstable</emphasis> to gain the latest functionality. This need arises due to some projects evolving faster than the time between Debian's <emphasis>stable</emphasis> releases.</para></footnote>
it: Se avete una distribuzione mista, cioè una distribuzione <emphasis>stable</emphasis> con alcuni pacchetti presi da <emphasis>testing</emphasis> o <emphasis>unstable</emphasis>, potete utilizzare il sistema del pinning o l'opzione <literal>--target-release</literal> di <command>apt-get</command> per aggiornare <emphasis>solo</emphasis> quei pacchetti che hanno subito variazioni<footnote><para>Questo è un problema comune visto che molti utenti vogliono utilizzare un sistema stable e prendere solo alcuni pacchetti da <emphasis>unstable</emphasis> per disporre di funzionalità più recenti. Questo bisogno nasce dal fatto che alcuni progetti evolvono più rapidamente del tempo che passa tra due versioni <emphasis>stable</emphasis> di Debian.</para></footnote>.

en: Do periodic integrity checks
it: Effettuate periodicamente dei controlli sull'integrità del sistema

en: Based on the baseline information you generated after installation (i.e. the snapshot described in <xref linkend="snapshot" />), you should be able to do an integrity check from time to time. An integrity check will be able to detect filesystem modifications made by an intruder or due to a system administrators mistake.
it: Basandovi sulle informazioni che avete generato in fase di installazione come metro di paragone, (ovvero l'istantanea descritta in <xref linkend="snapshot" />) dovreste essere in grado di controllare l'integrità del sistema quando volete. Un controllo sull'integrità del sistema sarà in grado di rilevare le modifiche su disco, effettuate da un intruso o generate da errori dell'amministratore di sistema.

en: You can consider doing integrity checks online using any of the filesystem integrity tools available (described in <xref linkend="check-integ" />) if taking offline the system is not an option. However, precaution should be taken to use a read-only integrity database and also assure that the integrity checking tool (and the operating system kernel) has not been tampered with.
it: Potreste pensare di voler fare dei controlli d'integrità a sistema avviato (ossia, utilizzando il sistema operativo che state controllando) usando uno qualsiasi dei sistemi di controllo dell'integrità del filesystem disponibili, (descritti in <xref linkend="check-integ" />) se non avete la possibilità di spengere il sistema. Comunque sia, dovreste assicurarvi che la banca dati usata nel controllo dell'integrità del filesystem non sia scrivibile e che gli strumenti di analisi che state usando (incluso il nucleo del sistema operativo) non siano stati manomessi.

en: Some of the tools mentioned in the integrity tools section, such as <command>aide</command>, <command>integrit</command> or <command>samhain</command> are already prepared to do periodic reviews (through the crontab in the first two cases and through a standalone daemon in <command>samhain</command>) and can warn the administrator through different channels (usually e-mail, but <command>samhain</command> can also send pages, SNMP traps or syslog alerts) when the filesystem changes.
it: Alcuni degli strumenti sono stati menzionati nella sezione sugli strumenti per il controllo dell'integrità, ad esempio <command>aide</command>, <command>integrit</command> o <command>samhain</command> sono già predisposti per effettuare periodicamente dei controlli (nei primi due casi si usa il crontab mentre <command>samhain</command> utilizza un demone indipendente) e possono avvisare l'amministratore in vari modi (in genere tramite email, ma <command>samhain</command> può anche inviare pagine web, avvisi mediante syslog o notifiche SNMP) qualora il filesystem sia stato alterato.

en: Of course, if you execute a security update of the system, the snapshot taken for the system should be re-taken to accommodate the changes done by the security update.
it: Naturalmente, se eseguite un aggiornamento per la sicurezza, dovrete effettuare una nuova istantanea del sistema che fotografi anche i cambiamenti legittimi avvenuti in seguito ad un aggiornamento del sistema per la sicurezza.

en: Set up Intrusion Detection
it: Pianificare la ricerca di intrusi

en: Debian GNU/Linux includes tools for intrusion detection, which is the practice of detecting inappropriate or malicious activity on your local system, or other systems in your private network. This kind of defense is important if the system is very critical or you are truly paranoid. The most common approaches to intrusion detection are statistical anomaly detection and pattern-matching detection.
it: In Debian GNU/Linux sono presenti molti programmi che servono ad individuare intrusi nel sistema, possono scovare delle attività malevole sul vostro sistema personale, oppure negli altri sistemi della vostra rete. Questo tipo di difesa è importante sia che nel sistema siano residenti informazioni riservate, sia che voi siate veramente paranoici in fatto di sicurezza. I più comuni metodi per individuare degli intrusi sono l'individuazione di anomalie e la ricerca mediante l'uso di espressioni regolari.

en: Always be aware that in order to really improve the system's security with the introduction of any of these tools, you need to have an alert+response mechanism in place. Intrusion detection is a waste of time if you are not going to alert anyone.
it: Dovete essere consapevoli che la sicurezza del sistema viene migliorata con l'introduzione di questi programmi, avrete bisogno di avere un meccanismo di allerta e risposta configurato correttamente. La ricerca di intrusi senza un valido sistema di allerta diviene completamente inutile.

en: When a particular attack has been detected, most intrusion detection tools will either log the event with <command>syslogd</command> or send e-mail to the root user (the mail recipient is usually configurable). An administrator has to properly configure the tools so that false positives do not trigger alerts. Alerts may also indicate an ongoing attack and might not be useful, say, one day later, since the attack might have already succeeded. So be sure that there is a proper policy on handling alerts and that the technical mechanisms to implement this policy are in place.
it: Quando viene scoperto un particolare attacco, molti di questi programmi vengono configurati per inviare un log con <command>syslogd</command> oppure per inviare una email all'amministratore (le intestazioni delle email sono solitamente configurabili). Un amministratore può accuratamente configurare questi strumenti evitando così di ricevere allarmi per falsi positivi. Inoltre è necessario fare attenzione ai sistemi di allarme dei tentativi di intrusione, potrebbero rivelarsi inutili se vengono generati il giorno dopo che l'attacco è avvenuto. Siamo sicuri che questa sia la politica di sicurezza migliore, è però importante che gli strumenti per migliorare questa politica siano implementati.

en: Network based intrusion detection
it: Individuazione delle intrusioni sulla rete

en: Network based intrusion detection tools monitor the traffic on a network segment and use this information as a data source. Specifically, the packets on the network are examined, and they are checked to see if they match a certain signature.
it: Gli strumenti che controllano le intrusioni lo fanno sul traffico di un segmento di rete e usano le informazioni come una sorgente di dati. Specificatamente, vengono esaminati i pacchetti in rete e viene controllato che abbiano un certificato valido.

en: Host based intrusion detection
it: Sistemi per individuare gli intrusi

en: Host based intrusion detection involves loading software on the system to be monitored which uses log files and/or the systems auditing programs as a data source. It looks for suspicious processes, monitors host access, and may even monitor changes to critical system files.
it: I sistemi per individuare gli intrusi controllano chi usa i file di log e/o i sistemi di verifica come se fossero una sorgente dati. Controllano i processi sospetti, l'accesso al sistema e possono riportare dei cambiamenti ai file fondamentali per il sistema.

en: In addition, packages which monitor file system integrity (see <xref linkend="check-integ" />) can be quite useful in detecting anomalies in a secured environment. It is most likely that an effective intrusion will modify some files in the local file system in order to circumvent local security policy, install Trojans, or create users. Such events can be detected with file system integrity checkers.
it: Inoltre esistono programmi che controllano l'integrita dei filesystem (vedete in <xref linkend="check-integ" />) che sono abbastanza utili nella ricerca di anomalie in un ambiente sicuro. &Egrave; molto probabile che un vero intruso modifichi alcuni file nel filesystem locale, allo scopo di aggirare la politica di sicurezza, installare dei cavalli di Troia, oppure creare utenti. Questi eventi vengono ricercati dai programmi atti a controllare l'integrità dei filesystem.

en: Avoiding root-kits
it: Evitare i root-kit

en: Loadable Kernel Modules (LKM)
it: Moduli del kernel caricabili (LKM)

en: Loadable kernel modules are files containing dynamically loadable kernel components used to expand the functionality of the kernel. The main benefit of using modules is the ability to add additional devices, like an Ethernet or sound card, without patching the kernel source and recompiling the entire kernel. However, crackers are now using LKMs for root-kits (knark and adore), opening up back doors in GNU/Linux systems.
it: I moduli caricabili del kernel sono file che contengono componenti del kernel per espanderne le funzionalità, caricabili in modo dinamico. Il principale vantaggio nel loro impiego sta nella possibilità di aggiungere ulteriori dispositivi, come per una scheda sonora o una Ethernet, senza apportare correzioni al sorgente del kernel e senza ricompilarlo interamente. Però, al momento, i cracker li sfruttano per i loro root-kit (usurpando l'account di root (knark e adore)) per aprire porte all'insaputa dell'amministratore (le cosiddette "back door") nei sistemi GNU/Linux.

en: LKM back doors are more sophisticated and less detectable than traditional root-kits. They can hide processes, files, directories and even connections without modifying the source code of binaries. For example, a malicious LKM can force the kernel into hiding specific processes from <filename>procfs</filename>, so that even a known good copy of the binary <command>ps</command> would not list accurate information about the current processes on the system.
it: Le porte segrete aperte tramite LKM sono più sofisticate e meno rilevabili rispetto ai tradizionali root-kit. Possono nascondere processi, file, cartelle e perfino connessioni, senza modificare il codice sorgente dei binari. Per esempio, un LKM maligno può obbligare il kernel a nascondere processi specifici da <filename>procfs</filename>, cosicché una copia del binario <command>ps</command>, ritenuta fedele, non fornirebbe, invece, informazioni precise sugli attuali processi in atto nel sistema.

en: Detecting root-kits
it: Scoprire i root-kit

en: There are two approaches to defending your system against LKM root-kits, a proactive defense and a reactive defense. The detection work can be simple and painless, or difficult and tiring, depending on the approach taken.
it: Ci sono due approcci per difendere il sistema contro i root-kit a mezzo LKM: la difesa preventiva e quella reattiva. Il lavoro di ricerca può essere semplice e indolore, o difficile e faticoso, a seconda dell'approccio.

en: Proactive defense
it: Difesa preventiva

en: The advantage of this kind of defense is that it prevents damage to the system in the first place. One such strategy is <emphasis>getting there first</emphasis>, that is, loading an LKM designed to protect the system from other malicious LKMs. A second strategy is to remove capabilities from the kernel itself. For example, you can remove the capability of loadable kernel modules entirely. Note, however, that there are rootkits which might work even in this case, there are some that tamper with <filename>/dev/kmem</filename> (kernel memory) directly to make themselves undetectable.
it: Il vantaggio di questo tipo di difesa è che in primo luogo previene danni al sistema. Una siffatta strategia consiste nel motto <emphasis>arrivateci per primi</emphasis>, cioè, caricare un LKM atto a proteggere il sistema da altri LKM malevoli. Una seconda strategia è quella di rimuovere completamente la possibilità che il kernel possa caricare dei moduli. Notate, comunque, che esistono rootkit che potrebbero funzionare anche in questo caso, ce ne sono alcuni che manomettono direttamente <filename>/dev/kmem</filename> (la memoria del kernel) per non essere scoperti.

en: Debian GNU/Linux has a few packages that can be used to mount a proactive defense:
it: Debian GNU/Linux ha alcuni pacchetti che possono essere utilizzati per realizzare una difesa preventiva:

en: If you don't really need many kernel features on your GNU/Linux system, you may want to disable loadable modules support during kernel configuration. To disable loadable module support, just set CONFIG_MODULES=n during the configuration stage of building your kernel, or in the <filename>.config</filename> file. This will prevent LKM root-kits, but you lose this powerful feature of the Linux kernel. Also, disabling loadable modules can sometimes overload the kernel, making loadable support necessary.
it: Se non avete affatto bisogno di molte delle caratteristiche del kernel sul vostro sistema GNU/Linux, potete disabilitare il supporto ai moduli caricabili durante la fase di configurazione del kernel stesso. Per disabilitare questo supporto, impostate CONFIG_MODULES=n durante la fase di configurazione per la compilazione del vostro kernel, oppure nel file <filename>.config</filename>. Questo annullerà i tentativi dei root-kit LKM, ma perderete questa potente caratteristica del kernel Linux. Inoltre, disabilitare il supporto per i moduli caricabili a volte potrebbe appesantire troppo il kernel, rendendo il supporto ai moduli indispensabile.

en: Reactive defense
it: Difesa reattiva

en: The advantage of a reactive defense is that it does not overload system resources. It works by comparing the system call table with a known clean copy in a disk file, <filename>System.map</filename>. Of course, a reactive defense will only notify the system administrator after the system has already been compromised.
it: Il vantaggio di una difesa reattiva è che non sovraccarica le risorse del sistema. Funziona confrontando la tabella delle chiamate di sistema con una copia sicura in un file del disco, <filename>System.map</filename>. Ovviamente, una difesa reattiva si limiterà ad avvisare l'amministratore di sistema dopo che il sistema è già stato compromesso.

en: Playing around with Pluggable Authentication Modules (PAM). As quoted in the Phrack 56 PAM article, the nice thing about PAM is that "You are limited only by what you can think of." It is true. Imagine root login only being possible with fingerprint or eye scan or cryptocard (why did I use an OR conjunction instead of AND?).
it: Divertirsi con i Pluggable Authentication Modules (PAM - moduli per l'autenticazione inseribili): come riportato nell'articolo su PAM, in Phrack 56, il loro aspetto più simpatico è che "l'unico limite è ciò che si riesce a pensare". Ed è vero! Immaginate un'autenticazione di root possibile solo mediante impronta digitale o scansione oculare o tessera magnetica cifrata (ma perché usare la congiunzione "O", invece che la "E"?).

en: Fascist Logging. I would refer to all the previous logging discussion above as "soft logging". If you want to perform real logging, get a printer with fanfold paper, and send all logs to it. Sounds funny, but it's reliable and it cannot be tampered with or removed.
it: Registrazione dei log "fascista" - per contrasto verso tutte le precedenti discussioni sulla "registrazione dei log leggera": se si vuole una registrazione dei log degna di tal nome, basta spedire tutti i log ad una stampante con carta a modulo continuo. Sembra un espediente buffo, ma è sicuro ed al riparo da manomissioni e cancellazioni.

en: CD distribution. This idea is very easy to realize and offers pretty good security. Create a hardened Debian distribution, with proper firewall rules. Turn it into a boot-able ISO image, and burn it on a CDROM. Now you have a read-only distribution, with about 600 MB space for services. Just make sure all data that should get written is done over the network. It is impossible for intruders to get read/write access on this system, and any changes an intruder does make can be disabled with a reboot of the system.
it: Distribuzione su CD: idea davvero semplicissima da realizzarsi, dà una sicurezza abbastanza buona; basta creare una distribuzione Debian ben corazzata, con regole di firewall appropriate, convertirla in immagine ISO inizializzabile e schiaffarla su un CD-Rom, così da avere una distribuzione in sola lettura, con circa 600 MB di spazio per i vari servizi. Per gli intrusi è impossibile ottenere l'accesso al sistema in lettura e scrittura ma qualsiasi cambiamento essi riescano ad operare può essere annullato con la reinizializzazione del sistema.

en: Switch module capability off. As discussed earlier, when you disable the usage of kernel modules at kernel compile time, many kernel based back doors are impossible to implement because most are based on installing modified kernel modules.
it: Disabilitare le funzionalità tramite modulo: come già visto, quando, durante la sua compilazione, si impedisce l'uso dei moduli del kernel, molte porte segrete basate su di essi non possono essere sfruttate, perché, nella maggioranza dei casi, si fondano sull'installazione di moduli del kernel modificati.

en: Logging through serial cable (contributed by Gaby Schilders). As long as servers still have serial ports, imagine having one dedicated logging system for a number of servers. The logging system is disconnected from the network, and connected to the servers via a serial-port multiplexer (Cyclades or the like). Now have all your servers log to their serial ports, write only. The log-machine only accepts plain text as input on its serial ports and only writes to a log file. Connect a CD/DVD-writer, and transfer the log file to it when the log file reaches the capacity of the media. Now if only they would make CD writers with auto-changers... Not as hard copy as direct logging to a printer, but this method can handle larger volumes and CD-ROMs use less storage space.
it: Registrazione dei log tramite cavo seriale (collaborazione di Gaby Schilders): finché i server avranno porte seriali, si potrà dedicare un sistema per la registrazione dei log di un certo numero di server. Tale sistema sarà fuori dalla rete, ma connesso ai server per mezzo di una multipresa per porte seriali (Cyclades o simili). Ora che tutti i server registreranno verso le loro porte seriali, in sola scrittura, basterà connettere un masterizzatore di CD/DVD, sul quale trasferire i file di registrazione, fintantoché non giungano a riempire la capacità del supporto. Se solo facessero dei masterizzatori con autocommutatori...! Non è un modo di fare copie "dure" come la registrazione diretta a mezzo stampante, ma può gestirne volumi più consistenti - e stoccare CD-Rom richiede meno spazio.

en: Change file attributes using <command>chattr</command> (taken from the Tips-HOWTO, written by Jim Dennis). After a clean install and initial configuration, use the <command>chattr</command> program with the <literal>+i</literal> attribute to make files unmodifiable (the file cannot be deleted, renamed, linked or written to). Consider setting this attribute on all the files in <filename>/bin</filename>, <filename>/sbin/</filename>, <filename>/usr/bin</filename>, <filename>/usr/sbin</filename>, <filename>/usr/lib</filename> and the kernel files in root. You can also make a copy of all files in <filename>/etc/</filename>, using <command>tar</command> or the like, and mark the archive as immutable.
it: Cambiare gli attributi dei file usando <command>chattr</command> (tratto dal Tips-HOWTO, di Jim Dennis): dopo una semplice installazione ed una configurazione iniziale, potete usare il programma <command>chattr</command> con l'attributo <literal>+i</literal>, per far si che i file non possano essere modificati (ossia, cancellati, rinominati, collegati o riscritti). Da considerare la possibilità di impostare questo attributo su tutti i file delle cartelle <filename>/bin</filename>, <filename>/sbin/</filename>, <filename>/usr/bin</filename>, <filename>/usr/sbin</filename>, <filename>/usr/lib</filename> e sui file del kernel in root. Potreste anche copiare tutti i file in <filename>/etc/</filename>, con <command>tar</command> od un altro programma simile, e classificare l'archivio come immutabile.

en: This strategy also makes a variety of security and denial of service (DoS) exploits either impossible or more difficult (since many of them rely on overwriting a file through the actions of some SETUID program that <emphasis>isn't providing an arbitrary shell command</emphasis>).
it: Inoltre questa strategia rende quasi impossibile, o perlomeno più difficile, sfruttare attacchi alla sicurezza del tipo denial of service (DoS - rifiuto di fornire servizi), miranti a sovrascrivere un file attraverso l'azione di qualche programma con SETUID attivo, perché <emphasis>fornisca un'arbitraria shell di root</emphasis>.

en: Note that this strategy also prevents you from upgrading your system's packages, since the files updated packages provide cannot be overwritten. You might want to have a script or other mechanism to disable the immutable flag on all binaries right before doing an <command>apt-get update</command>.
it: Notate che questa strategia impedisce anche di aggiornare i pacchetti del proprio sistema, dal momento che i file forniti dai pacchetti dell'ultima versione non possono essere sovrascritti. A questo proposito, potreste creare uno script o un altro meccanismo per disabilitare il flag "immutabile" su tutti i binari, giusto prima di fare un <command>apt-get update</command>.

en: Play with UTP cabling in a way that you cut 2 or 4 wires and make the cable one-way traffic only. Then use UDP packets to send information to the destination machine which can act as a secure log server or a credit card storage system.
it: Potreste voler alterare un cavo UTP tagliando 2 o 4 fili in maniera che il traffico di rete possa scorrere in una sola direzione. Successivamente potreste inviare ad un'altra macchina, tramite dei pacchetti UDP, i log di sistema.

en: Building a honeypot
it: Costruirsi una honeypot ("trappola al miele")

en: A honeypot is a system designed to teach system administrators how crackers probe for and exploit a system. It is a system setup with the expectation and goal that the system will be probed, attacked and potentially exploited. By learning the tools and methods employed by the cracker, a system administrator can learn to better protect their own systems and network.
it: Una honeypot ("trappola al miele") è un sistema progettato per insegnare agli amministratori come i cracker sondano e sfruttano il sistema; è un modo di impostare un sistema con l'aspettativa e l'obiettivo che sia sondato, attaccato e potenzialmente, sfruttato. Apprendendo gli strumenti e le metodiche dei cracker, un amministratore di sistema impara a proteggere meglio i sistemi e le reti di cui si occupa.

en: Debian GNU/Linux systems can easily be used to setup a honeynet, if you dedicate the time to implement and monitor it. You can easily setup the fake honeypot server as well as the firewall<footnote><para>You will typically use a bridge firewall so that the firewall itself is not detectable, see <xref linkend="bridge-fw" />.</para></footnote> that controls the honeynet and some sort of network intrusion detector, put it on the Internet, and wait. Do take care that if the system is exploited, you are alerted in time (see <xref linkend="log-alerts" />) so that you can take appropriate measures and terminate the compromise when you've seen enough. Here are some of the packages and issues to consider when setting up your honeypot:
it: Un sistema Debian GNU/Linux può essere agevolmente configurato come "trappola al miele", dedicando un po' di tempo ad implementare e controllare: basta impostare il falso server con un firewall<footnote><para>Di solito si usa un bridge firewall in modo tale che il firewall stesso non sia rilevabile, vedete in <xref linkend="bridge-fw" />.</para></footnote> ed un qualsiasi rilevatore di intrusioni nella rete, collegarlo ad Internet e aspettare. In caso di sfruttamento del sistema, occorre essere ben certi di venire avvisati per tempo (vedete in <xref linkend="log-alerts" />), sì da poter assumere le opportune contromisure e bloccare la compromissione quando se ne conosca abbastanza. Questo è un elenco di pacchetti e di aspetti da valutare durante l'impostazione di una honeypot:

en: The firewall technology you will use (provided by the Linux kernel).
it: La tecnologia di firewall che si impiegherà (fornita dal kernel Linux).

en: Of course, all the daemons you will be using for your fake server honeypot. Depending on what type of attacker you want to analyse you will or will <emphasis>not</emphasis> harden the honeypot and keep it up to date with security patches.
it: Naturalmente, tutti i demoni che si useranno per il server-trappola. Analizzando la situazione, a seconda del tipo di attaccante, dovrete decidere se irrobustire la vostra trappola, se mantenere gli aggiornamenti con le patch per la sicurezza o se <emphasis>non farlo</emphasis>.

en: You can read more about building honeypots in Lanze Spitzner's excellent article <ulink name="To Build a Honeypot" url="http://www.net-security.org/text/articles/spitzner/honeypot.shtml" /> (from the Know your Enemy series). Also, the <ulink name="Honeynet Project" url="http://project.honeynet.org/" /> provides valuable information about building honeypots and auditing the attacks made on them.
it: Maggiori informazioni sulla costruzione di honeypot si possono trovare nell'eccellente articolo di Lanze Spitzner <ulink name="To Build a Honeypot" url="http://www.net-security.org/text/articles/spitzner/honeypot.shtml" />, (costruire una honeypot), - della serie "Conosci i tuoi nemici". Inoltre, l'<ulink url="http://project.honeynet.org/" name="Honeynet Project" /> offre informazioni preziose sul modo in cui progettare queste trappole ed analizzare gli attacchi rivolti contro di esse.
