MBSA: per controllare configurazione di Windows e patch

La migliore difesa contro gran parte dei componenti malware inseriti all’interno di pagine web “maligne” è, in primo luogo, come ripetiamo spesso, mantenere il sistema sempre aggiornato. In quest’ottica, assume un’importanza fondamentale l’installazione delle patch di sicurezza per il sistema operativo e per tutte le applicazioni in uso.

Windows dispone di molteplici procedure e strumenti per rilevare la mancanza di patch di sicurezza e provvedere immediatamente alla loro installazione.
In primo luogo è bene accertarsi di avere sempre attiva la funzionalità “Aggiornamenti automatici” di Windows.

Chi vuole avere massimo controllo sugli aggiornamenti per il sistema operativo e le applicazioni Microsoft, può anche attivare le opzioni Scarica automaticamente gli aggiornamenti, ma lascia decidere all’utente quando installarli oppure Avvisa ma non scaricarli e non installarli (Pannello di controllo di Windows, icona Aggiornamenti automatici): l’importante, però, è che la funzionalità Aggiornamenti automatici sia attiva cosicché, al momento del rilascio di nuove patch, venga mostrato lo scudetto giallo di allerta nell’area della traybar (generalmente in basso a destra).

Oltre alla funzionalità Aggiornamenti automatici ed allo storico servizio Windows Update, Microsoft ha da tempo rilasciato il tool gratuito MBSA (Microsoft Baseline Security Analyzer) che permette di individuare, oltre alla vacanza di patch, anche la mancata adozione di importanti politiche di sicurezza.

MBSA può essere usato sia in ambito domestico che in contesti aziendali. In ambienti spiccatamente business in cui si utilizzi Windows Server 2003 è poi a disposizione degli amministratori, lo strumento WSUS (Windows Server Update Services) che permette di avere una visione globale sui vari sistemi collegati in LAN.

MBSA è uno strumento gratuito, sviluppato direttamente da Microsoft, che si propone come un prodotto a sé stante (“stand alone”). Giunto alla versione 2.1, e prelevabile da questa pagina, MBSA è compatibile con i sistemi Windows 2000, Windows XP, Windows Server 2003, Windows Vista e Windows Server 2008. Il programma si occupa di controllare lo stato del sistema operativo e di proporre il download di tutte patch disponibili.

Dalla sua MBSA ha certamente immediatezza e semplicità d’uso: con due clic del mouse è possibile verificare la mancanza di aggiornamenti importanti, sul sistema locale o su altre postazioni di lavoro collegate in rete locale. Il software di Microsoft, inoltre, si conferma come uno strumento assai utile per gli amministratori di sistema e per coloro che desiderano accertarsi che il personal computer utilizzato sia perfettamente sicuro. MBSA fornisce, infatti, alcuni utili suggerimenti per mettere in sicurezza aspetti del sistema che potrebbero essere sfruttati da utenti malintenzionati per violare la privacy dell’utente, per sottrarre dati sensibili od, in generale, per causare danni. Il software, per esempio, controlla che tutti gli account utente impostati siano dotati di una password sufficientemente “forte” e quindi difficoltosa da violare, ad esempio, mediante attacchi “brute force”, che componenti server quali IIS e SQL Server non siano in qualche modo vulnerabili e così via.

MBSA si installa semplicemente facendo doppio clic sul file .msi prelevato dal sito di Microsoft (nella versione a 32 o 64 bit) e seguendo le istruzioni a video (MBSA non è ad oggi disponibile in italiano ma la versione in inglese funziona perfettamente anche sui sistemi localizzati nella nostra lingua).

Dopo aver avviato MBSA, facendo clic sulla voce Scan a computer o su Scan multiple computers si può scegliere, rispettivamente, se analizzare un singolo sistema oppure più personal computer collegati in rete locale.

Nella casella Security report name viene indicato il nome che verrà attribuito al file (report) contenente le informazioni su tutte le patch che è bene provvedere ad installare.
Per esaminare il computer in uso non è necessario modificare alcunché nelle caselle Computer name ed IP address. Diversamente, nel caso in cui si desideri effettuare la scansione di un altro computer connesso in rete, è possibile specificarne il nome o l’indirizzo IP assegnato.

Le opzioni elencate immediatamente più sotto, indicano quali aspetti di Windows si desidera controllare: vulnerabilità del sistema, scelta delle password, vulnerabilità del server IIS, vulnerabilità del server SQL, presenza di aggiornamenti (“hotfix”).
Per avviare la scansione del sistema, in modo da determinare quali aggiornamenti debbano essere scaricati ed installati, è sufficiente cliccare su Start scan, in basso a destra.

MBSA provvederà ad effettuare i controlli sul computer specificato ed a verificare la disponibilità di eventuali patch. E’ indispensabile che la connessione Internet sia attiva e funzionante poiché MBSA necessita di scaricare alcune informazioni dai server Microsoft (messaggio Download security update information from Microsoft).

Il resoconto finale, restituito da MBSA, consente di controllare quali problemi di sicurezza sono stati diagnosticati sul personal computer. Il report sarà tanto più completo quanti più controlli si è scelto di effettuare.
La sezione Security update scan results mostra la lista di tutte le vulnerabilità ancora presenti sul sistema e non sanate mediante l’applicazione delle patch rilasciate da Microsoft. Cliccando sul link Result details si otterrà la lista completa delle patch che è bene provvedere ad installare immediatamente. La sezione Windows scan results di MBSA informa l’utente anche su alcuni dettagli che consentono di rendere il sistema ancora più sicuro: il programma, ad esempio, notifica – tra le altre cose – se qualche disco fisso/partizione non risulti formattato con il file system NTFS (che offre un maggior livello di sicurezza), se è stata attivata la funzione di accesso automatico a Windows (“autologon”), se sono in uso password “deboli”, presenza dell’account utente “guest” e così via.
Cliccando sul link How to correct this, MBSA spiega come risolvere ciascun problema individuato sul sistema dell’utente.