Newsgroup: it.comp.sicurezza.varie
Titolo: Microsoft SBS 2000 (con ISA server, proxy ecc.)

Cosa ne pensate della suite Microsoft Small Business Server 2000? Il
firewall ISA server è abbastanza sicuro per un web server? Con questa suite
è consigliato installare un solo application server su cui gira TUTTO
(database, WEB server, dominio, ecc.) cosa ne dite? Quali sono i reali
problemi a cui si andrebbe incontro?
Grazie x le risposte

 ha scritto nel messaggio
news:l6CB7.89468$1H1.9...@news.infostrada.it...

tutta la suite, tutta su un solo server? io la vedo come "bucatemi, vi
prego".
o avete una persona *esperta* per l'installazione ed una stipendiata per
stare dietro a quel server 4 ore su 8 al di' ( di media, a volte di piu')?
ah, la persona esperta deve venire ogni tanto a verificare il tutto, piu'
implementare le nuove feature di cui avete bisogno, molto probabilmente.
un mayhem dubbioso.
--
"Se una cosa e' segreta e riservata ad un'elite non puo' essere buona."
The Skulls - 
http://www.gnu.org/

 un mayhem dubbioso.
thorin che "ma davvero quelle scimmie chiamate MCSE li pagano cosi'
tanto? E' un'offesa per le scimmie."
-- 
Pierluigi De Rosa (
tho...@durin.khazad-dum.net
).
<<      LINUX: the choice of a GNU generation     >>
<<   For my real address... ask the Balrog.       >>
* Sostenete la Lega per la Soppressione dei Troll *

 probabilmente.
Infatti di norma in queste situazioni la persona esperta dovrebbe essere
a disposizione full-time e cmq reperibile anche di sera/weekend...
-- 
|Ż \/Ż | /Ż\ /Ż__/Ż__|-<|> 
http://planynet.hypermart.net
 ŻŻŻŻŻ<|
|Ż|\/|Ż|/Ż_Ż\|(__\__ \-<|> 
http://pub44.ezboard.com/bplanynet
 <|
|_|  |_/_/ \_\___|___/-<|> NEWS: free.it.tlc.provider.fastweb <| 
|>Togli/Remove .INVALID<|>_____ engineering && computers _____<|

 wrote in message
news:l6CB7.89468$1H1.9...@news.infostrada.it...


Ciao Alessio,
Small Business Server 2000 e' fatto per essere installato
anche da una persona poco esperta, per questo consigliano
di installare tutto su un singolo server.
Il grado di sicurezza non dipende dal fatto che un servizio
giri su uno, su due, o su 10 computer, bensi' dalla configurazione
del software che si installa.
E' senz'altro consigliabile avere soltanto ISA server installato e
configurato sul computer che tieni collegato ad internet, specialmente
se la tua connessione e' di tipo permanente o con IP statico, ed
installare il resto su un altro server, pubblicando i servizi in modo
sicuro attraverso il firewall.


 configurato sul computer
mi sembrano in constrasto le due affermazioni
MCSE? ;

1) un firewall va su macchina dedicata.
2) Il firewall è una cosa seria, ISA ha un case history troppo breve per
potere essere affidabile.
3) Microsoft non ha MAI prodotto Firewall, mentre altri marchi lo fanno da
anni.
4) ISA non è un buon firewall, al max è un buon proxy e nulla più, e
sopratutto la fase di setup è cervellotica e fuori da ogni standard.
5) ricorda che se hai server visibili , questi vanno messi in DMZ !!! quindi
Firewall a 3 porte minimo.
Se vuoi un firewall senza spendere milioni di dollari :-) rivolgiti ad un
appliances tipo Nokia o SonicWall.
Se vuoi spendere meno ancora e non hai la necessità di gestire moduli
firewall distribuiti e non vendi servizi web, un box Linux con IPCHAIN o
IPTABLE , hai tutta la documentazione che vuoi , e volendo ci metti sopra
anche un NIDS come SNORT che è moolto più affidabile di NIDS commerciali di
marchi conosciuti.
Ciao e buon lavoro
-----=  Posted via Newsfeeds.Com, Uncensored Usenet News  =-----
http://www.newsfeeds.com
 - The #1 Newsgroup Service in the World!
 Check out our new Unlimited Server. No Download or Time Limits!
-----==  Over 80,000 Newsgroups - 19 Different Servers!  ==-----

 wrote in message
news:9rbl0g$sm1vb$1...@ID-65620.news.dfncis.de...


 wrote in message
news:3bd95...@goliath2.newsgroups.com...


che deve proteggere la dice piuttosto lunga, non credi...?
Viste alcune vulnerabilita' del sistema operativo, il curriculum per
la produzione di eventuali firewall non e' certo dei migliori IMHO..
-- 
           ~~ ICQ#: 8761263 ~~ 
http://www.delymyth.net/
 ~~
            E-Mail Addy: DElyMyth [at] delymyth [dot] net
           => FREE! Hardware Anti-Virus!!! - /dev/brain <=
Chi lavora avvelena anche te, digli di smettere - DElyMyth@work

 wrote in message
news:3bd9779f...@news.interbusiness.it...


 proteggere server visibili su internet.
No, infatti, serve a proteggere il RESTO della rete. (DMZ = Zona
smilitarizzata. Accessibile dall'internet, dalla rete, ma una volta
compromessa tale zona e' impossibile arrivare alla rete interna...
Questo per quel che so io) 
[1] Cio' non applica per i prodotti MS, che l'esperienza a mostrato che
invece che migliorare, col tempo peggiorano.
HappyCactus
-- 
Keyboard not present or keyboard error
Press F1 to resume

 A proposito, che significa IMHO ?
In My Humble Opinion, secondo la mia non autoritativa Opinione (ahemm...
traduzione contaminata dal gergo  DNS!)
Per favore, rispondi quotando, cioe' scrivendo SOTTO il messaggio
originale. Non si riesce a seguire il discorso, altrimenti...



Si, e' esatto (o almeno credo).
A parte che, comunque, vorrei un esempio di "compromissione" di questa
benedetta zona...
La DMZ dovrebbe isolare la rete interna da quella dei server
che si vogliono render accessibili da utenti di internet, solo che , con le
tre
schede su un unico firewall, non e' esattamente cosi'.
Ad ogni modo, quello che avevo scritto era perche' Alessandro Bardelli
nel suo post ha usato una sfilza di termini tecnici (NIDS , SNORT) senza
spiegare esattamente che cosa significano... insomma, m'e' parsa una
risposta un po' troppo "tecnica", in fondo credo che molti di noi (come
il sottoscritto) siano qui per imparare...
Spero di aver capito come rispondere, piuttosto !
Ciao
Danny


 la sicurezza del sistema.
Questo [tuo] passaggio relativo alla configurazione su piu' macchine
confermerebbe quanto ho scritto sopra.


 Si', certo, certo...
Invece di dire certo certo, perche' non mi fai un esempio
che mi dimostri che non si puo' ottenere lo stesso livello di sicurezza ?
Danny

 Avanti, stupiscimi.
Se colleghi la DMZ alla terza scheda di rete, i server della DMZ
non possono avere indirizzi privati ma soltanto pubblici.
E' vero che si possono creare dei filtri anche per questi indirizzi, ma e'
altrettanto vero che non tutti dispongono di piu' indirizzi pubblici.
L'ideale per me e' mettere due firewall in modo da riuscire a dare indirizzi
privati anche ai server che stanno sulla DMZ.
Almeno, questo e' quel che credo io, se poi mi sbaglio correggimi pure,
sono qui per imparare.
Ciao
Danny
--
Il computer piu' sicuro del mondo e' il computer spento.
Per rispondermi in email togli la scritta
OnlyWithWhoWillRespectMe
dall'indirizzo !

 confermerebbe quanto ho scritto sopra.
Intendevo quello.
Per questo gli ho consigliato di separar le cose, ma c'e' modo e modo
di dirglielo, eh


 Certamente: hai la "case history", come vedi.
A questo punto, chiediti anche se sia positiva o negativa.
Esempio terra-terra: ho un cavallo che è un brocco totale,
corre da anni su tutte le piste e non ha mai vinto una gara.
La sua case history è bella lunga, ma questo non basta
per farne un cavallo sul quale puntare.
Un Paperino non so se mi spiego.

Sono contento di aver stimolato le Vs discussioni con questo quesito...
Scherzi a parte vi ringrazio per le dritte, sono d'accordo con molti punti
elencati, ma non capisco l'avversione di molti verso i prodotti microsoft.
Anche Linux ha molti bugs, l'installazione di un web server con linux box
che funge da firewall/router non è così semplice (ho letto di problemi di
connessione e della necessità di usare una proxy...).

 possono avere indirizzi privati ma soltanto pubblici.
??? = se vuoi fare una DMZ, puoi 
p.es
. optare tra le seguenti due 
soluzioni :
--------------------------
# Screened-Subnet Firewall
--------------------------
               /==================== DMZ ====================\
               ||                                           ||
          +----++----+                                 +----++----+
Internet<-|Router EXT|<-------+-----+----------------->|Router INT|->LAN
          +----++----+        |     |                  +----++----+
               ||             |     |                       ||
               ||             |     +->[Bastion Host]       ||
               ||             |                             || 
               ||             +------->[Information Server] ||
               ||                                           ||
               \=============================================/
Sono presenti 2 packet-filtering router ed un bastion host :
==
1.Il router esterno mostra solo la DMZ verso Internet
  ---------------------------------------------------
  I sistemi esterni non vedono alcuna strada verso la rete protetta. 
  Questo significa che la rete č "invisibile" e che Internet conosce
  solo i sistemi selezionati sul DMZ grazie alla tabella d'instradamento
  ed alle informazioni scambiate sul DNS.
2.Il router interno mostra solo la DMZ verso la rete
  --------------------------------------------------
  I sistemi interni non vedono alcuna strada diretta verso Internet.
  Questo garantisce che gli utenti interni devono accedere ad Internet
  per mezzo dei servizi proxy installati sul bastion host. 
---------------
# Firewall-NAPT
---------------
                         +--------+ 
[Internet]<-->[Router]<--+Firewall+-------------->[LAN e.g. 10/8]
                         +---+----+
                             |
                         +---+----------------------------------+
                         |Information Server/DMZ e.g. 192.168/16|
                         +--------------------------------------+
Tale soluzione consente di continuare ad usare la DMZ, senza l'appoggio
ai proxy, ma introducendo una protezione ulteriore costituita
dall'indirizzamento privato della rete interna.
Cio' richiede quindi un sistema firewall con 3 interfacce di rete, 
ciascuna delle quali collegata a diverse 'porzioni' della rete LAN, ed
inoltre la presenza della traduzione NAT/PAT per :
==
- Modificare l'IP Header.
- Ricalcolarne il checksum [fa riferimento all'IP Header].
- Ricalcolare il checjsum TCP [interessa il segment + indirizzi IP]
- Correggere a livello di applicazione l'IP sorgente [
p.es
. con FTP]


 che il tuo post lo possa un po', come dire, "spaventare"...
Si e' spaventato? Meglio!
Se non ha dimestichezza, e' meglio che eviti di affidarsi ad un prodotto
senza sapere quello che fa e a cosa puo' andare incontro.
Un sano spavento, alcune nottate passate come minimo a leggere, leggere,
leggere, e si riaffaccera' al problema con un'ottica gia' diversa.
Ragazzi, il mondo e' piuttosto crudele, qua fuori.:-)
-- 
           |Save our planet!
  Ciao     |Save wildlife;
  roberto  |For your E-MAIL use only recycled Bytes !!
           |roberto poggi  
rpo...@softhome.net

 connessione e della necessità di usare una proxy...).
Linux ha *quache* bug (Maicrosloth ne ha moltissimi) e c'e' un'altra
differenza: quelli di Linux durano al massimo un paio di giorni quelli
di Maicrosloth anche mesi ma e' ovvio che ci troviamo ancora di fronte
ad un ennesimo scienziato che parla a vanvera di Linux senza averlo
usato per piu' di 5 minuti.


:

Certo installare roba M$ e' MOLTO piu' semplice ed intuitivo, pero'
come si puo' capire leggendo questo NG e altri siti dedicati alla
sicurezza informatica, M$ non e' che sia proprio la scelta ideale per
quello che riguarda appunto la sicurezza.
Linux e' piu' complicato, ma in certi casi vale decisamente la pena
leggersi qualche manuale e poi mettere su un firewall con sicurezza
piu' stabile.
-- 
           ~~ ICQ#: 8761263 ~~ 
http://www.delymyth.net/
 ~~
            E-Mail Addy: DElyMyth [at] delymyth [dot] net
           => FREE! Hardware Anti-Virus!!! - /dev/brain <=
Powered By Slackware 8.0 on Asus L7300G - Kernel 2.4.7 - WMaker 0.70.0

Interessante.
Secondo te, una macchina firewall con il DNS
e' sufficientemente sicura ?


 se la tua connessione e' di tipo permanente o con IP statico.
la configurazione corretta di una rete permanentemente esposta su internet e
che offre dei servizi prevede:
un router che faccia solo da router, ben configurato e con le corrette, per
quanto basilari, access-list
un firewall, che non offra alcun servizio, al massimo ssh da alcuni
particolari ip, con tre (e ripeto tre) schede di rete
alla prima scheda di rete associ un ip pubblico ed e' collegata tramite cavo
cross direttamente al router
alla seconda scheda eě collegato uno switch sul quale stanno tutte le
macchine che possono essere raggiunte da iternet (web, mail, dns etc).
preferibilmente tali macchine hanno ip privato e vengono pubblicate dal
firewall tramite nat, non possono comunicare con internet, ma solo ricevere
comunicazioni sulle porte dei servizi indispensabili
alla terza scheda e' collegata la lan con pc che possono accedere ad
internet (navigazione ad es) ma mai essere raggiunti. la seconda rete, che
chiameremo dmz, non deve poter parlare con la lan se non per pochi
indispensabili e ben curati servizi. ad esempio io metto in dmz un server
che riceve la posta via smtp, controlla lo spam, gli attachment e se va
tutto bene reinoltra la posta sul vero server di posta in lan, al quale puo'
connettersi solo alla 25 e solo di quell'host.
un buon firewall vieta tutto di default, permette solo i servizi da te
specificati; inoltre deve fare stateful inspect e permettere solo le
coerenti risposte alle comunicazioni iniziate dall'interno. inutile dire che
ogni macchina deve essere configurata in modo sicuro, come se nessun
firewall la proteggesse. ci troveremo quindi a far collaborare le tre regole
della sicurezza: security trogh obscurity (non dai nessuna informazione
circa i tuoi hosts e la tua topologia, host security, ogni macchina e sicura
di per se, network security, un firewall che protegge tutti, segmenta le
reti a seconda del rischio a cui sono esposte. immancabile in questo
scenario un proxy che filtra le cose raggiungibili via http, un nids, che
rileva gli  eventuali attacchi e prende delle contromisure (bloccare il
traffico da quell'host, o avvisare, per esempio via sms l'amministratore).
questa si chiama rete sicura. il resto e' un compromesso, che puo' essre
compromesso ;P
un mayhem che ci vuole sempre una persona esperta, o non vai lontano.


 e' sufficientemente sicura ?
no. il firewall *non* deve offrire alcun tipo di servizio. al massimo solo
ssh per alcuni ip.
un mayhem un firewall e' un firewall


 tanto? E' un'offesa per le scimmie."
Evidentemente alla fine ci sono riuscite, a scrivere la Divina Commedia.
<g>
-- 
"Ehi, fratelli. Qui c'e' scritto che c'e' anche il tempo per combattere".
SecurFaq             : 
http://securfaq.usenet.eu.org
Biancorossi Siamo Noi: 
http://www.tifonet.it/free/ancona/

 <g>
Secondo me l'hanno comprata e poi l'hanno modificata spacciandola per
opera loro.. dove ho gia' visto questo film? ;-)


 particolari ip, con tre (e ripeto tre) schede di rete
Che splendida spiegazione.. keep mode on con inchino finale
un tuo fan che ti segue sempre su icrc


operativo che deve proteggere la dice piuttosto lunga, non credi...?
In effetti si'. E' un po' come se una azienda che produce farmaci si
mettesse nel commercio degli arredi funebri.
E' probabile che loro sappiano qualcosa che io non so.
Leonardo
-- 
"Open Source programs are designed and developed.
 Our products are tested."
 Steve Lipner, manager, Microsoft Security Response Center

 Spero di aver capito come rispondere, piuttosto !
Ti riferisci al quotare? perfetto! (beh, quasi: potresti tagliare la
firma, ma no problem! :) )


 privati anche ai server che stanno sulla DMZ.
Bah, invece e' naturale.
Se il firewall/router fa da NAT, ha un solo indirizzo publico, quello
della sua interfaccia esterna. Stabilisci una regola che instrada i
pacchetti provenienti da una certa porta verso la scheda che da' sulla
DMZ, verso l'indirizzo del server. ad esempio, se l'http e' l'indirizzo
10.0.0.1, allora la regola sara' Incoming 80 -> 
10.0.0.1/80
Fine.
semplice come bere un bicchiere di rosolio :)


 proxy...).
Da gente che linux l'ha visto in cartolina, evidentemente.
-- 
Renato "Hitman" Salzano / 
http://spazioweb.inwind.it/hitman/
e-posta: sonicblast (at) 
inwind.it
"Ci sono momenti in cui devi scegliere se arrenderti o dire no
 a tutto e tutti e tirare per la tua strada. Io scelsi la Vodka" (BJ)

 basta. Occupazione su HD = 0, fra l'altro. LRP anyone?
Il Linux Router Project ha aperto la strada ma ci sono anche soluzioni
diversificate [e.g. Freesco] a seconda di rete/servizi/connessione e che
si appoggiano anche a supporti rimovibili diversi dal floppy :
==
- 
http://planynet.hypermart.net/adsl/faq/linux2.htm
- 
http://planynet.hypermart.net/adsl/faq/linux3.htm
- 
http://www.linux.org/dist/english.html
 - Mini and Specialty Distros.
:D


 basta. Occupazione su HD = 0, fra l'altro. LRP anyone?
Il Linux Router Project ha aperto la strada [:D] anche a soluzioni
diversificate a seconda di rete/servizi/connessione e che si appoggiano
anche a supporti rimovibili diversi dal floppy :
==
- 
http://planynet.hypermart.net/adsl/faq/linux2.htm
- 
http://planynet.hypermart.net/adsl/faq/linux3.htm
- 
http://www.linux.org/dist/english.html
 - Mini and Specialty Distros.
-- 


 compromesso ;P
Questo va sulle FAQ. Quelle serie, ovviamente. 8-)))
