Newsgroup: it.comp.sicurezza.varie
Titolo: Come scoprire chi usa i p2p in LAN?

Ciao.
In ditta abbiamo (grazie Telecom) una connessione piuttosto scadente.
Qualche simpaticone usa la connessione per scaricarsi le canzoni. Risultato:
internet quasi inutilizzabile.
La ditta č piuttosto grande e gli utenti sono molti, quindi non posso
mettermi a far passare i pc 1 x 1.
Ho provato qualche sniffer, ma non so bene cosa cercare.
Ho anche provato il programma Active Ports per vedere le porte attive sul
server (al quale č collegato il router), ma purtroppo ho notato che
programmi come kazaa e winmx cambiano le porte di collegamento.
Qualcuno ha qualche consiglio su come poter individuare i simpaticoni?
Grazie e ciao.

 Qualcuno ha qualche consiglio su come poter individuare i simpaticoni?
Magari anche snort, con le opportune rules, ti puo' essere di aiuto.
Ciao
A.
icq# 18752702
-- 
questo articolo e` stato inviato via web dal servizio gratuito 
http://www.newsland.it/news
 segnala gli abusi ad 
ab...@newsland.it


Scusa l'ignoranza, cosa è snort?


Grazie ci guardo subito.
Ho già provato a installarmi kazaa e winmx, solo che ho notato che le porte
cambiano. Ad esempio kazaa ha usato la prima volta la 3258, poi la 4161.
Stessa cosa x winmx: prima volta 4804, poi 1903.

 Scusa l'ignoranza, cosa è snort?
The Open Source Network Intrusion Detection System
www.snort.org
Get the pig :)


 Qualcuno ha qualche consiglio su come poter individuare i simpaticoni?
Con uno sniffer, come hai gia' detto tu. Maaaa... quando li hai ben
rilevati? Ricorda che siete in una azienda e sei soggetto a norme e
regolamenti ben precisi: non puoi sniffare a piacimento il traffico
e usare i dati cosi' raccolti.
L'unica soluzione e' quella di filtrare in uscita tutto il traffico
non specificamente autorizzato, eventualmente con dei proxy di tipo
applicativo. Per ironia della sorte, se cerchi con google le parole
"filtrare porte p2p", il primo risultato e' un mio post (o, meglio,
il commento ad un mio post) su una mailing list specializzata, dove
si spende qualche parola in piu' sulla questione. Guarda se ti puo'
interessare. Prima ancora di iniziare le attivita' di filtraggio e'
bene distribuire un documento interno che valga come regolamento di
uso della connessione ad internet e delle risorse ad essa legate. I
dettagli dipendono da voi, ma potresti trovare una mano su altri ng
come it.diritto.internet.
Qualcuno ti ha consigliato un IDS. Considera che l'uso di strumenti
come quelli e' estremamente utile ma richiede anche alcune cautele,
in quanto (come per lo sniffer) si rischia di violare diverse norme
in tema di intercettazione abusiva (codice penale), trattamento dei
dati personali (L 675/96) e statuto dei lavoratori (L 300/70).
Fabio

 dati personali (L 675/96) e statuto dei lavoratori (L 300/70).
Grazie del consiglio. ;-)
Ciao
Alex


Il consiglio è ottimo, ma dovrei riuscrci pero'.
Non capisco come facciano a passare se non sono aperte in Proxy Server 2...
Per altre che ci servivano ho dovute creare i protocolli a mano e definire
chi poteva usarli, altrimenti non andavano.
Per questo mi sento un po' disorientato... ICQ viene bloccato correttamente.

 Grazie del consiglio. ;-)
Prego, di niente.
Fabio

 ma, per varie ragioni, non mi sembra molto probabile.
La cache http č attiva. Cosa č la storia dei "connect"?
Gli utenti dubito siano capaci di cose che vadano oltre l'installazione del
programmino... sai quanti Gator ho dovuto eliminare dopo che si sono
installati getright o Webshots?
Ciao
Alex

 ha scritto nel messaggio
news:10473919...@merlino.agonet.it...

-----= Posted via Newsfeeds.Com, Uncensored Usenet News =-----
http://www.newsfeeds.com
 - The #1 Newsgroup Service in the World!
-----==  Over 80,000 Newsgroups - 16 Different Servers! =-----

 installati getright o Webshots?
Questo lo puoi sapere solo tu, ovviamente. Ma non sottovalutare gli
utenti: da noi gli operai dei reparti di produzione d'eta' compresa
tra 20 e 30 anni sono mediamente piu' scafati degli impiegati nell'
uso d'un pc. A volte decisamente di piu'. Senza dimenticare pure il 
recente successo delle varie riviste di ROTFLhacking.
Riassumo:
Per scoprire chi e' e che p2p usa devi catturare il traffico con lo
sniffer e/o installare snort.
Per bloccare il funzionamento del software p2p dovresti:
- impedire il forwarding del traffico tcp/udp per tutte le porte di
  destinazione e per tutti gli ip non esplicitamente abilitati;
- usare opportune acl per l'uso del proxy socks.
Se gia' pensi di avere fatto tutte queste cose, dovresti verificarne
la corretta implementazione generando opportuno trafico dall'interno
verso l'esterno usando un tool di packet forging (nmap va benissimo)
e verificando il traffico (con uno sniffer) per vedere se quello che
deve passare passa e quel che deve essere bloccato viene bloccato.
Fabio


! =-----
Grazie. Come sw x ora devo tenere questo, regolarmente pagato, ma non +
supportato da Microsoft. Cmq DEVE andare...


Grazie ancora!
Ciao.
Alex

 Scusa l'ignoranza, cosa sono le acl?
Access control list: chi puo' fare cosa e chi no (o solo in parte).
Fabio

 e usare i dati cosi' raccolti.
Si, ma i dipendenti non possono utilizzare i computer aziendali per fini
non lavorativi, pena anche il licenziamento per giusta causa, quindi
non so chi ci rimetta di piu'....
rg

 ci rimetta di piu'....
Come principio tendo a rispettare i diritti delle persone con
cui ho a che fare e non li violo solo perche' posso sfruttare
lo spauracchio di un possibile licenziamento. Sugli estiti di
eventuali procedimenti di questo tipo non sarei tanto sicuro,
come la cronaca di (quasi) tutti i giorni insegna. Per me, in
questi casi, per lo piu' sarebbe sempre l'azienda a perderci,
anche qualora venisse riconosciuta la "giusta causa". Ognuno,
poi, segua sua politica.
Fabio

 Access control list: chi puo' fare cosa e chi no (o solo in parte).
Ok, grazie.
Ciao.
Alex

"rg" <r...@LEVAMIlibero.it> ha scritto nel messaggio
news:nBEba.27253$%p6.19...@news.edisontel.com...

Un po' di elasticità ci vuole... a me interessa solo individuare i possibili
"bricconi" e spiegare loro con tranquillità che è meglio non farlo,
nell'interesse di tutti. :-)

non so chi ci rimetta di piu'....
potresti sorprenderti di quanto ti sbagli.
cmq, la soluzione esiste e te l'hanno gia` indicata: se non vuoi che
vengano eseguiti determinati comportamenti, inbiscili a livello
router/firewall.
Ovvero fai solo in modo che non sia _possibile_ farlo. Se non sei in
grado, contatta un consulente, fattelo fare.
Qualunque altra attivita`, quando non illegale, e` controproducente.
-- 
The linuX Files -- The Source is Out There.
Maurizio - Tannoiser - Lemmo
Founder Member of ERLUG (Emilia Romagna Linux User Group)
http://erlug.linux.it

 leggere la documentazione? ;-)
Giusto un paio di suggerimenti...
- scarica l'installer della versione 1.9.1 da:
 
http://www.silicondefense.com/support/windows/downloads.php
 (sito a
  cui puoi fare riferimento anche per i manuali di installazione; per
  quelli d'uso vai su 
www.snort.org
);
- scarica winpcap da 
http://winpcap.polito.it/install/default.htm
;
- lascia perdere tutti i sistemi di logging su database;
- probabilmente dovrai eseguire snort con il flag -i, per indicare su
  quale interfaccia di rete leggere. Le trovi con -W.
- per installare il servizio devi eseguire snort da linea di comando
  con  le direttive /SERVICE indicando il percorso completo per tutte
  le risorse su file. Es:
  c:\> c:\programmi\snort\bin\snort.exe /SERVICE /INSTALL
              -l c:\programmi\snort\log 
              -c c:\programmi\snort\etc\snort.conf
              -i 1
  (sono andato a capo per semplicita'). Poi si gestisce attraverso la
  applet servizi del pannello di controllo (o di mmc) come gli altri.
- usa come plugin di output solo alert_fast e alert_full per iniziare.
Bisognerebbe scrivere pagine e pagine: leggi i manuali, fai un paio di
prove su un'altra macchina e se hai quesiti specifici prova a chiedere
qui. Poi, quando saprai far funzionare tutto, rifai la stessa cosa sul
server.
Fabio

Grazie. Molto ma molto gentile.

leciti e non?
Come ha gia` detto Fabio, manca una reale giurisprudenza in materia,
per cui si procede per assimilazione.
Afaik, i due "capisaldi", sono gli artt. 4 e 8 della L. 20.5.1970 n. 300
(Statuto dei Lavoratori) che rispettivamente vietano l'uso di impianti
per il controllo a distanza dei lavoratori e le indagini sulle "opinioni
politiche, religiose o sindacali del lavoratore, nonche` su fatti non
rilevanti ai fini della valutazione dell'attitudine professionale del
lavoratore".
Il tutto e` integrabile con la solita L. 31.12.1996 n. 675 (Privacy).
Inoltre, esperienza ci dice che le cause di lavoro di questo genere,
difficilmente si sono concluse a favore del datore di lavoro.
Sicuramente su it.diritto.internet ne sapranno piu` di me.
ciao whippo. :)
-- 
QUOTE OF THE DAY: `


   
http://www.silicondefense.com/support/windows/downloads.php
Vedo che è disponibile anche la 2.0. Meglio la 1.91 o vado con la 2?

Vedo ora che č + nuova la 1.91 della 2.0... :-/

> Vedo ora che č + nuova la 1.91 della 2.0... :-/
La 2.0 e' piuttosto stabile ma e' una beta (anche se non e' indicato).
Le nuove feature introdotte non sono di alcuna utilita' per quello che
devi fare tu. 
La 1.9.1 e' piu' recente perche' ne e' appena stato fatto rilascio (in
seguito alla scoperta di un bug in uno dei moduli della 1.9.0).
Userei la 1.9.1.
Fabio
PS: se pensi dover porre questioni specificamente legate a snort (solo
    dopo aver letto tre volte i manuali :-)), forse potresti aprire un
    nuovo thread, in modo che sia piu' chiaro quale sia l'argomento.

 ha scritto nel messaggio
news:MPG.18d9824a4...@powernews.libero.it...

Ok grazie. Per ora sto cercando di farlo partire sul mio pc con 2k pro. Mi
sta dando qualche rogna (il servizio si installa ma non parte) ma ci sto
lavorando...
Per problemi relativi a prestazioni scarse di rete, colli di bottiglia e
"mancamenti" vari su che ng mi consigli di postare?
Ciao
Alex