Newsgroup: it.comp.sicurezza.varie
Titolo: Ditemi se ha senso

Ciao ragazzi! Volevo un vostro parere....
Ho un server per esempio ftp quindi sulla porta 21.
Mettiamo che questo serve è dietro un firewall, quindi per
far funzionare il tutto devo aprire la porta 21 e indirizzare
le richieste sulla 21 al ip locale mio server FTP interno.
Ora mi chiedo per migliorare la sicurezza se io alla esterno apro
un'altra porta per esempio la 5150 e sul firewall dico che le richieste 
della
5150 vanno a finire alla 21 del server locale.
Con questa cosa dovrei rendere più difficile capire quale servizio server
è attivo sul server giusto?
La mia domanda quindi è secondo voi è un modo per migliorare la sicurezza??
P.S.
Logicamente tutti i client FTP, che voglio far connettere,
dovranno "puntare" sulla porta 5150
Ciao e grazie
m4nuele 

 
Ti sei dato la risposta da solo. Questa è "security through obscurity", una
pratica ormai molto anni 60/70 che con la rapidità con cui si diffondono
oggi le informazioni non ha più molto ragione di essere. 
A qualcuno dovrai dire che devono aprire il client sulla porta 5150. Altri 
lo scopriranno da soli, altri continueranno a saperlo dopo che non avranno
più bisogno di questa informazione (non saranno più utilizzatori del tuo
servizio). Dopo un po' il vantaggio di avere una porta non standard sarà
marginale. 
Punta di più su una gestione oculata delle password, delle utenze e
sistemistica del server. Idealmente, il servizio deve essere sicuro dopo
che il mondo sa tutto del tuo servizio (hai pubblicato le specifiche sui
newsgroup! tranne le password, ovvio...). 
Meno segreti devi difendere, più è facile difenderli, idealmente ci
dovrebbero essere solo le password da difendere anche se mi rendo conto che
non sempre è così lineare.
Ciao,
-- 
AB


Non aumenta la sicurezza e ti complica la vita.
Ricordati di aprire anche la porta 20 (data-connection).
-- 
echo 152079117477642780034933529998195782666P | dc

 è attivo sul server giusto?
No; al più, eviti di riempirti i log qualora ci sia un
worm che tenta di exploitare qualche particolare demone ftp.

 Ricordati di aprire anche la porta 20 (data-connection).
La 20 è in outbound.

 La 20 è in outbound.
 Quindi basterebbe aprire la 21 e usare la stateful inspection
 per le porte del passive-mode?
-- 
echo 152079117477642780034933529998195782666P | dc


 
 Grazie, avevo dei dubbi.
-- 
echo 152079117477642780034933529998195782666P | dc

 worm che tenta di exploitare qualche particolare demone ftp.
C'è anche da dire che per poter attaccare la relativa applicazione FTP
diviene "obbligatorio" identificarne l'esistenza in qualche modo,
tipicamente con un portscan.
Questo lascia del tempo d'azione per meccanismi retroattivi che vadano a
bannare per un TOT gli IP sorgente di palese abuso.
In questi termini, ottieni un po' di margine per irrobustire la macchina
contro gli eventuali attacchi "a tappeto", ma non guadagni una virgola
nei confronti di un attaccante ben armato che attacchi in maniera
scaltra e mirata...
Nel totale, spesso il gioco non vale la candela, soprattutto se la
macchina è usata da più di un paio di persone...

 macchina č usata da piů di un paio di persone...
Beh in effetti č usata solo da me :) Mi spiego meglio.
Il servizio che gira su questo server č un terminal server
a cui accendo per manutenzione sia del SO che dell'applicativo
contabile, quindi avevo pensato questa cosa,  di cambiare la porta.
Tanto sarei l'unico ad accederci. Pensavo che cambiando la porta
potrei avere un piccolo margine in piů.
Grazie a tutti 

 contabile, quindi avevo pensato questa cosa,  di cambiare la porta.
Uhmmm... che terminal server?
Fabio

 Uhmmm... che terminal server?
Terminal server su un Windows 2003
m4nuele

 Terminal server su un Windows 2003
E perche' ti complichi la vita con ftp? Hai valutato l'ipotesi 
d'usare la condivisione file nativa? Cosi' esponi solamente un
servizio, TS, che e' anche gia criptato, ed eviti i grattacapi
di ftp.
Fabio

 d'usare la condivisione file nativa? 
Ovviamente intendo nativa di terminal server, giusto per evitare
errate interpretazioni.
Fabio

 ha scritto nel messaggio >> > Uhmmm... che 

L'FTP era solo un esempio :) non ho necessita di server FTP
solo TS 

 solo TS 
Ah... uh... ehm... e' vero, non avevo letto bene il primo post :-)
Be', se vuoi una parere in piu', io di solito metto sulle porte di
default i servizi che devono essere raggiunti pubblicamente. Se ad
un servizio accedo solo io o un numero ristretto e ben definito di
utenti in genere cambio la porta su una poco usuale, possibilmente
non inclusa in nmap-services, giusto per evitare il maledetto worm 
con l'0-day o di trovarmi sempre i log pieni di inutili schifezze.
Fabio