Newsgroup: it.comp.sicurezza.varie
Titolo: siti web autorizzati ?

buongiorno
ho letto da più parti quali sistemi esistono per negare l'accesso a
determinati siti web
ora la mia domanda è questa : è possibile prendere il problema al contrario?
cioé: posso decidere qualisiti autorizzare, bloccando tutti gli altri?
Supponiamo di essere in una piccola rete aziendale con piattaforma Win2K e
XP
accesso ad internet tramite Router adsl
Grazie
Umberto

 
Premesso che non conosco gli ambienti Microsoft (bazzico Unix, Linux e
dintorni...), credo comunque che qualunque ambiente di "filtro",
indipendentemente dalla piattaforma su cui gira, possa e debba ragionare in
entrambi i sensi:
 --> BLOCCA TUTTO: tranne quello che ti dico io
 --> PERMETTI TUTTO: tranne quello che ti dico io
e' quello che in termini generici si chiama "policy" (e nello specifico, per
vedere con quale "grammatica" andarlo a dire nei file di configurazione,
dovrai leggerti il manuale del prodotto che andrai ad installare... sorry:
"when every else fails, read the freaking manual...").
Per esempio, un estratto da un nostro file di configurazione (numerelli
cambiati, ovvio...).  Vale per il protocollo SSH, ma sarebbe la stessa cosa
per HTTP:
sshd : ALL : deny
sshd : 10.10.5.12 : allow
sshd : 10.11.6.12 : allow
sshd : 10.12.7.12 : allow
sshd : 10.13.8.12 : allow
sshd : 192.168.12.12 : allow
Qui si dice "per definizione blocca tutto il traffico SSH tranne che per i 5
indirizzi IP che ti definisco di seguito".
Una policy piu' liberale avrebbe potuto essere "per definizione permetti
tutto il traffico SSH e blocca dai 5 (o N) indirizzi IP che ti definisco di
seguito".
A seconda del prodotto usato potrebbe cambiare la grammatica, ma non la
logica complessiva. Se il prodotto che vuoi usare non ti permette di
adottare una "policy" di tipo "blocca tutto tranne...", cercati un altro
prodotto...
-- 
AB

 le conoscenze adatte per l'installazione ma sopratutto per il tuning.
grazie
pensavo a qualcosa di molto più semplice, tipo quello che si può fare per
negare l'accesso ad un sito mediante un file hosts
umberto


Beh credo che sia una soluzione negativa; la soluzione dev'essere
centralizzata....effettuare una modifica lato client significherebbe dare
comunque la possibilità all'user di apportare tutte le modifiche che
vuole....almeno così è contemplato nella concezione di "security"
Davide

 
Nel post originale non ho visto nulla che mi lasciasse implicitamente o
esplicitamente pensare che Umberto intendesse implementare il filtro dal
lato "client". In ogni caso hai ragione: la cosa deve essere implementata
dal lato server per avere un senso. 
Non credo comunque che la cosa possa essere efficacemente implementata
semplicemente maneggiando il file hosts come sperava Umberto. Lascio a
frequentatori del NG piu' esperti di me in ambienti Microsoft dire ad
Umberto se sotto MS esistono soluzioni equivalenti a IPTABLES e 
TCP_WRAPPING degli ambienti Unix/Linux. 
A "minimo sindacale" so che il Web Server Apache (mi meraviglierebbe se non
ce ne fosse una implementazione sotto MS) puo' controllare globalmente o
per directory (.htaccess) da quali indirizzi farsi accedere.
-- 
AB

 
Oooops. Chiedo venia... mi sono reso conto solo ora di aver mal interpretato
fin dall'inizio il post originale. Avevo interpretato (per qualche strano
motivo) che Umberto avesse un sito Web aziendale a cui limitare l'accesso,
invece ora capisco che ha dei client a cui voler limitare l'accesso al Web
in genere....
Umberto, ignora quanto ho scritto ed il NG mi perdoni lo spreco di banda :-(
-- 
AB


Supponiamo che i siti che possono interessare siano 10.000 e che ci sia 
un ricambio di circa 1000 al mese
Chi si impegna a verificare e aggiornare una lista di questo tipo ?
Quanto costerebbe la manutenzione puntuale?
Quanto costerebbe per mancato accesso ad un sito utile ?
Quanto aumenterebbe la produttività personale e questo aumento in che 
percentuale si trasformerebbe in risparmio o maggior introito reale ?
Nel 99% dei casi il gioco non vale la candela
Prodotti tipo Websense possono essre d'aiuto , ma non la pancea ?
Cia

ciao ab
intanto auguri
in effetti io ho solo 3 pc, un server con Win2Kserver (per il gestionale)
e un router
quindi devo farlo lato client
o, peggio, installare un firewall hw dove impostare queste restrizioni
Grazie
Umberto
-- 
http://www.gargallo.it
