Newsgroup: it.comp.sicurezza.varie
Titolo: firewall e sicurezza lan aziendale

Salve sono un responsabile edp di una soceta' con 3 server e una trentina di
client. Abbiamo un collegamento a internet tramite router Adsl. Non abbiamo
nessun Server web in azienda nussun server ftp, internet ci serve
esclusivamente per navigare o mandare e-mail. naturalmente abbiamo un
antivirus centralizzato " Symantec corporate edition ".
la mia domanda e' .. con questa configurazione ho bisogno di un firewall e
se si di che tipo Hardware o software ?
Grazie anticipatamente

 se si di che tipo Hardware o software ?
Certamente. La presenza del solo router, anche se (come immagino) fa 
NAT, non e' sufficiente a proteggere le macchine.
La soluzione migliore, nel caso di sola connessione ad internet di tipo 
client, ovvero senza macchine pubbliche, consiste nell'installare un 
firewall fra il router e la rete. Una soluzione come IPCop 
www.ipcop.org
 
permette anche di utilizzare il firewall come proxy, effettuando un 
controllo sulle connessioni all'esterno e sfruttando la cache per 
velocizzare le pagine visitate piu' di frequente (considerando che in 
genere adsl non e' un fulmine).
La distribuzione e' gratuita, e' amministrabile da remoto in modo 
protetto (SSL-128, SSHv2) e gira su qualsiasi PC Pentium-qualcosa, con 
64-128MB di RAM e due schede di rete. Si installa in modo estremamente 
semplice in 10'.
Ciao
Luca
-- 
Luca Sasdelli
Microsoft MVP - Security, Networking, Windows NT/2000/XP
http://mvp.support.microsoft.com
IDRCI Italia - 
http://www.idrci.it
 - 
http://forum.idrci.it
CHX-I, CHX-I NAT Stateful Packet Filter

 semplice in 10'.
Confermo quanto sopra, aggiungo soltanto che va posta _MOLTA_
attenzione alla topologia della rete, l'utilizzo di un "border firewall"
come IPCop è un primo passo, il successivo è quello di controllare
TUTTI gli accessi esterni alla rete, per fare un'esempio, supponiamo
che sulla LAN (e quindi DIETRO al firewall) sia presente una macchina
dotata di modem, a questo punto, semplicemente connettendo tale
macchina ad interenet si esporrebbe L'INTERA LAN dato che in tal
caso NON ci sarebbe alcun firewall a protezione di detta macchina;
stessa cosa nel caso di AccessPoint wireless configurati senza le
opportune impostazioni (crittografia, accesso ecc.); direi che OLTRE
a seguire gli eccellenti suggerimenti di Luca sarebbe anche il caso
di creare una "mappa" della rete in modo da individuare eventuali
possibili "falle" ed agire per mettere in sicurezza la rete
Ultima osservazione cit. "La sicurezza non è uno status, la sicurezza
è un processo in continua evoluzione" .. il che significa .. controllare i
logs, applicare le patches e ... tenere in ogni caso sott'occhio la rete
il semplice fatto di installare un firewall e/o un'antivirus NON è un punto
di arrivo, ma un passaggio obbligato, il processo prosegue mantenendo
aggiornati i sistemi, eseguendo controlli periodici e così via, la sicurezza
per essere tale deve evolversi di pari passo con l'evoluzione delle minacce
Ciao
-- 
* ObiWan
DNS "fail-safe" for Windows 2000 and 9X clients.
http://ntcanuck.com
Support and discussions forum
http://ntcanuck.com/net/board
408 XP/2000 tweaks and tips
http://ntcanuck.com/tq/Tip_Quarry.htm

 possibili "falle" ed agire per mettere in sicurezza la rete
se non ricordo male, tempo addietro luca mi suggeri di usare la restrizione
di accesso all'AP utilizzando i mac address anzichè la crittografia che,
tra l'altro, rallenta ..

 tra l'altro, rallenta ..
Si, la crypto rallenta.. però aiuta :-) ... facciamo un'esempio diciamo che
in una LAN aziendale hai configurato un AP permettendo l'accesso solo
a determinati MAC ma senza crittografia; a questo punto il "furbetto" di
turno si mette a fare wardriving ed a sniffare il traffico WiFi, si fa un
bel
malloppone di roba, poi la strizza, centrifuga, asciuga e ottiene il suo
bravo mucchietto di UID/PWD... da quel punto in avanti le possibilità
sono limitate solo dalla fantasia :-) ... senza considerare che oltre alle
UID/PWD windows uno potrebbe anche beccare che so, le credenziali
di accesso FTP o MAIL ... ecc ecc ecc ecc ;-)
Ciao

 tra l'altro, rallenta ..
La crittografia (IMHO) e' indispensabile. Se non ci fosse basterebbe usare
uno dei MAC che vedi nel traffico e il gioco sarebbe fatto. Piuttosto puo'
essere il caso di usare wpa, se il firmware lo consente, e magari anche un
po' di crittografia tra i client (tipo ipsec). Tutto dipende anche da cosa
passa nell'aria.
Fabio

 Ciao
la rete in questione non offre alcun servizio, per ora, ma come ho scritto
qualche post piů sotto, sarei tentato di configurare un mail server per la
lan con qmai+clamav+spamassassin... allora si che dovrei rivedere un po' di
cosette...

 Fabio
markus

 e verso il backup-server... per ora...
Beh .. mi dici niente, password mail/ftp in chiaro, dati di autenticazione
verso il backup server in chiaro ... direi che forse sarebbe il caso di
rivedere la config ed abilitare WEP o (meglio, molto meglio) WPA
Per quanto riguarda l'uso di IPSec per crittare il traffico di rete, occhio
percč č un'arma a doppio taglio, nel senso che .. protegge il traffico
LAN da sguardi indiscreti.. ma non permette neanche a te di sniffare
il traffico... nel caso si rendesse necessario !
Detto questo, una "borderline security" potrebbe essere ottenuta se
tutte le macchine sottostanno ad una policy "di dominio" (windows)
in questo caso potresti abilitare IPSec tramite una policy globale e
configurarlo per filtrare il traffico indesiderato creando cosě una specie
di "firewall" che protegge i singoli clients (es. quelli con modem) giusto
per darti un'idea 
http://homepages.wmich.edu/~mchugha/w2kfirewall.htm
questo č un'esempio di filtraggio realizzato con IPSec, a questo punto
impostando tale filtraggio a livello di policy AD/Dominio potesti ottenere
un livello di sicurezza decente senza dover installare s/w aggiuntivo; se
poi a quanto sopra aggiungi anche delle ACL fatte "come si deve" per
l'accesso alle risorse del sistema ... :-)
Ciao

> percè
OOOPS ... era ovviamente "perchè" :-)
La fretta gioca brutti scherzi

 Ciao
ciao...

In un messaggio del Tue, 4 May 2004 09:39:46 +0200 Sala Massimo scriveva:


Considerato che ci sono schifezze che si beccano anche semplicemente
navigando se i PC non sono adeguatamente aggiornati direi che un
firewall che quantomeno blocchi le porte su cui normalmente arrivano le
schifezze Uindous dal grande e luccicante mondo di Internet (137-139
NetBios, 135 RPC, 445 Microsoft Directory Service le prime che mi
vengono in mente ma la lista potrebbe allungarsi) avere un firewall non
sarebbe poi male come idea. Sta a voi decidere su cosa orientarvi in
base a diversi fattori (budget, know how, tempo da dedicare alla
installazione, tuning e monitoraggio): si passa da appliance cioe'
scatolotti gia' pronti che attacchi e vanno a firewall software con
ampia scelta che passa da software OpenSource (Linux, *BSD) fino a
quello proprietario su piattaforma Uindous. Gli spunti ve li ho dati,
sta a voi decidere, ora...
-- 
Due scopettoni per domarli, un detersivo per lavarli e nel cesso scaricarli

 Grazie anticipatamente
premetto che con linux non ho una grande dimestichezza.. comunque, giusto
per provare, ho installato la mandrake 9.1 su un vecchio pc pIII 500 mhz
con 196 mb ram e hd da 6 gb, due schede di rete e seguendo le istruzioni
riportate in 
http://www.bpnets.org/linux_router.php
 
ho connesso uno dei client al web tramite la linux box, a sua volta
connessa tramite un server uindous con adsl modem usb... con un po' di
pazienza ottieni un sistema che in ogni caso appare più sicuro di
uindous... ora, a parte necessari aggiustamenti, *costo=zero*...
markus