Sicurezza Informatica in Moodle: Hardening e Best Practice

La sicurezza Moodle è un tema che troppo spesso viene affrontato solo dopo un incidente. Eppure, una piattaforma LMS contiene dati sensibili di migliaia di utenti: informazioni personali, risultati formativi, documenti aziendali riservati e, in contesti regolamentati, dati soggetti a normative come il GDPR. Un attacco a un'istanza Moodle non protetta può esporre l'organizzazione a data breach, interruzioni della formazione, sanzioni normative e danni reputazionali. L'hardening LMS non è un'attività opzionale: è un prerequisito per qualsiasi deployment in produzione.

Le Vulnerabilità Più Comuni nelle Installazioni Moodle

La protezione e-learning inizia dalla comprensione delle minacce. Le vulnerabilità più frequenti nelle istanze Moodle non configurate correttamente includono:

• Credenziali di default non modificate: l'account admin creato durante l'installazione con password deboli è il vettore di attacco più comune
• Plugin non aggiornati: i plugin di terze parti rappresentano la superficie di attacco più ampia. Un plugin vulnerabile può consentire SQL injection, XSS o remote code execution
• Esposizione di informazioni di debug: lasciare attivi i messaggi di errore dettagliati in produzione rivela la struttura del database, i percorsi del filesystem e le versioni del software
• Permessi eccessivi: utenti con ruoli troppo elevati rispetto alle necessità reali, violando il principio del minimo privilegio
• Upload di file non controllati: la possibilità di caricare file eseguibili mascherati da documenti innocui può portare a compromissioni del server
• Session hijacking: cookie di sessione non protetti adeguatamente possono essere intercettati su connessioni non cifrate

Nel 2024, il Moodle Security Team ha pubblicato 47 security advisory, il 60% dei quali classificati come "serious" o "critical". Questo dato sottolinea l'importanza di mantenere l'installazione costantemente aggiornata.

Hardening del Server: La Configurazione Sicura dell'Infrastruttura

L'hardening LMS parte dal livello infrastrutturale. Un server Moodle sicuro richiede interventi su più livelli:

Sistema Operativo e Web Server

• Utilizzare una distribuzione Linux con supporto LTS (Ubuntu 22.04/24.04 o Rocky Linux 9)
• Configurare il firewall (ufw o firewalld) per esporre solo le porte necessarie: 80/443 per HTTP/HTTPS e 22 per SSH (idealmente su porta non standard)
• Disabilitare l'accesso SSH con password e utilizzare esclusivamente chiavi pubbliche
• Configurare Apache/Nginx con header di sicurezza: X-Content-Type-Options, X-Frame-Options, Content-Security-Policy, Strict-Transport-Security
• Limitare le informazioni esposte dal web server: disabilitare ServerSignature e ServerTokens in Apache, server_tokens off in Nginx

PHP e Database

• Utilizzare PHP 8.1+ con OPcache abilitato e expose_php = Off
• Disabilitare le funzioni pericolose: exec, passthru, shell_exec, system, proc_open, popen in php.ini (verificando la compatibilità con Moodle)
• Configurare MySQL/MariaDB con bind-address = 127.0.0.1 per impedire connessioni remote dirette
• Creare un utente database dedicato con permessi limitati alle sole operazioni necessarie (SELECT, INSERT, UPDATE, DELETE, CREATE, ALTER, DROP, INDEX)
• Abilitare i log delle query lente e monitorare query anomale

Configurazione Sicura di Moodle: Parametri Essenziali

La configurazione sicura di Moodle prevede interventi specifici nel file config.php e nell'area di amministrazione:

Config.php - Parametri di sicurezza:

• $CFG->passwordpolicy = true; per forzare policy sulle password
• $CFG->lockoutthreshold = 5; per bloccare l'account dopo 5 tentativi falliti
• $CFG->lockoutwindow = 900; finestra di 15 minuti per il conteggio dei tentativi
• $CFG->lockoutduration = 1800; blocco di 30 minuti dopo il raggiungimento della soglia
• $CFG->cookiesecure = true; per trasmettere i cookie solo su HTTPS
• $CFG->cookiehttponly = true; per impedire l'accesso ai cookie da JavaScript
• $CFG->loginhttps = true; per forzare HTTPS sulla pagina di login

Pannello di amministrazione:

• Abilitare la password complexity policy con requisiti minimi: 8 caratteri, maiuscole, minuscole, numeri e caratteri speciali
• Configurare la scadenza password ogni 90 giorni per gli account amministrativi
• Limitare le estensioni file consentite per l'upload, rimuovendo .php, .js, .html, .exe
• Disabilitare la registrazione self-service se non necessaria (o proteggerla con CAPTCHA e approvazione manuale)
• Attivare il Security Overview Report (Amministrazione > Report > Security overview) e risolvere tutti i warning

Cybersecurity Formazione: Proteggere i Dati degli Utenti

La cybersecurity formazione va oltre la protezione tecnica e abbraccia la conformità normativa:

GDPR Compliance: Moodle include strumenti nativi per la gestione della privacy (dal Moodle 3.5+). Configurare le Data Retention Policies per definire per quanto tempo conservare i dati degli utenti inattivi. Attivare il Data Request Tool per gestire le richieste di accesso e cancellazione dei dati personali. Documentare il trattamento dei dati nel registro delle attività di trattamento.

Backup e Disaster Recovery:

• Backup automatico giornaliero del database con retention di almeno 30 giorni
• Backup incrementale del filesystem (moodledata) con strumenti come rsync o Borg Backup
• Test di restore trimestrale per verificare l'integrità dei backup
• Definire un Recovery Time Objective (RTO) e un Recovery Point Objective (RPO) in linea con le esigenze dell'organizzazione

Monitoring e Incident Response:

• Implementare un sistema di log centralizzato (ELK Stack o Graylog) per aggregare i log di Apache, PHP, MySQL e Moodle
• Configurare alert automatici per eventi sospetti: login multipli falliti, accessi da IP anomali, upload di file con estensioni insolite
• Definire una procedura di incident response documentata con ruoli e responsabilità chiari

Checklist di Hardening Moodle: 15 Azioni Prioritarie

Per una sicurezza Moodle solida, queste sono le azioni prioritarie da implementare immediatamente:

• Aggiornare Moodle all'ultima versione stabile disponibile
• Aggiornare tutti i plugin e rimuovere quelli non utilizzati
• Forzare HTTPS su tutto il sito con certificato SSL valido
• Configurare header di sicurezza HTTP
• Impostare policy password robuste
• Abilitare il blocco account dopo tentativi falliti
• Proteggere i cookie di sessione (secure + httponly)
• Limitare le estensioni file caricabili
• Disabilitare la visualizzazione degli errori in produzione
• Configurare il cron job Moodle con accesso limitato (CLI only)
• Implementare un WAF (Web Application Firewall) come ModSecurity
• Configurare backup automatici con test periodici di restore
• Eseguire il Security Overview Report e risolvere tutti i finding
• Abilitare l'autenticazione a due fattori per gli amministratori
• Pianificare vulnerability assessment trimestrali

HIE Learning offre servizi specializzati di hardening e audit di sicurezza per piattaforme Moodle. I nostri specialisti analizzano la tua installazione, identificano le vulnerabilità e implementano le configurazioni di sicurezza necessarie per proteggere i dati della tua organizzazione. Richiedi un security assessment e assicurati che la tua piattaforma e-learning sia protetta contro le minacce attuali.