Newsgroup: it.comp.sicurezza.varie
Titolo: rete lan con notebooks "volanti"

ciao a tutti,
in una comune rete lan d'ufficio ci sono un paio di tizi che si 
collegano con il loro portatile, il quale viene quotidianamente usato 
anche con un modem 56k per la navigazione fuori ufficio e a casa.
la rete e' dotata di un firewall con linux-iptables che svolge 
egregiamente il suo lavoro.
il problema e' che questi notebook, quando si collegano col 56k, 
probabilmente portano con loro una caterba di spazzatura, senza 
esclusioni di worms, virus ecc.. (ad es. il famigerato sasser).
ovviamente il firewall non deve negare a ogni postazione di poter 
sfogliare la lan, notebooks compresi.
come faccio ad evitare che sti notebook inquinino la lan portando virus 
e ogni altro genere di porcheria?
(vorrei, se possibile, evitare di installare un firewall software sui 
notebook).
-- 
boycottbabies::at::altervista::org
site: 
boycottbabies.altervista.org
ma secondo te davvero il canarino ha le ali perchè desidera volare?? 
altro che Walt Disney qui...
pure l'uomo ha sempre desiderato volare...ma io le ali non le ho!!
Le ali sono semplicemente frutto della selezione 
naturale...dell'evoluzione e via dicendo...

 notebook).
direi praticamente impossibile :-)
O limiti al massimo le possibilità di accesso alla LAN di questi notebook
altrimenti non puoi far altro che installare sopra adaware, firewallini,
antivirus.

 antivirus.
mannaggia :-/
addirittura pensavo di metter su una roba in php sul server che 
"sostituisse" l'uso della netbios.
tipo file manager, diciamo, cosi' potrei _negare_ la netbios ai 
porta(virus)tili.
grz.


 direi praticamente impossibile :-)
Beh, volendo...
http://www.sikurezza.org/ml/12_03/msg00161.html
http://www.cisco.com/en/US/netsol/ns466/networking_solutions_sub_solution_home.html
-- 
"Io mi sarei aspettato un intervento più misurato dall’assessore Ascoli, 
nel senso che, ospite in questo paese, poteva avere maggiore rispetto..."
(Giannotti di Forza Italia all'assessore Ascoli, ebreo italiano)
http://snipurl.com/antisemitafi

sfogliare la lan, notebooks compresi.
Stai chiedendo al cavo di rete :-) di consentire l'attivita' legale e
di negare quella illegale (worm, e simili). Non ha l'intelligenza per
farlo.
La soluzione tipica, e' che in LAN nessuna macchina vede nessun'altra
macchina, ma ogni utente ha uno spazio sul server centrale, che tutti
possono vedere. I dati importanti condivisi stanno sul server, e i PC
condividono giusto la stampante (mandano i dati al server e il server
li stampa su uno dei PC).
In genere ci si cava benissimo d'impiccio con
	/var/samba/condivisa/nomeutente
	/home/nomeutente
...e tra l'altro cosi' puoi disporre di un antivirus centrale, backup
differenziali e cosi' via (metti l'utilita' di avere una paginina web
dove l'utente inserisce il nome di un suo preziosissimo file, vede le
varie versioni esistenti, e puo' recuperarle a piacimento).
Soprattutto cosi' sulle workstation non c'e' niente di importante, il
che significa che al *minimo* problema non hai problemi :-) a dare di
piglio al Formattone(TM), o meglio ancora a ghost, e in 10 minuti sei
di nuovo in sella.
Va da se' che il server deve essere carrozzato opportunamente (/var e
/home su RAID come minimo, e backup a manetta, lasciando stare i vari
libberi penzièri su hardware, PC 'el cheapo' vs. PC di marca, ecc.)
Leonardo
-- 
"Se e' vero che Linux in se' e' gratis, non lo sono le indispensabili
interfacce grafiche (X, KDE ecc.) che consentono alle persone normali
di utilizzarlo."                    -- Jason Matusow, Microsoft Corp.

 li stampa su uno dei PC).
E questo salva un po' la capra, ma non i cavoli.
Non ti evita la diffusione di wormacci a giro per la rete.
Ogni macchina deve essere comunque blindata, oppure lo switch deve
essere molto intelligente, e fare in realta' da firewall.
Anche con ghost, un sasser preso il primo giorno di diffusione, senza
avere ancora avuto la patch di microsoft, a me comporterebbe circa un
paio di giorni di pena, e non sono tra quelli che hanno centinaia di
macchine in rete.
Una mezza soluzione (che devo provare appena riesco a procurarmi alcune
macchine funzionanti da usare da laboratorio) e' di usare dhcp per i
portatili, assegnando loro indirizzi di una rete completamente separata,
e affidare al firewall il routing e il filtro.
Resterebbe il problema del rimpallo tra i portatili del worm del
momento.
-- 
           |Save our planet!
    Ciao   |Save wildlife!
   roberto |For your E-MAIL use ONLY recycled Bytes  !!
           |roberto poggi   
rpo...@softhome.net


:Provate a guardare gli ingredienti del famoso Labello che si usa per
:le labbra screpolate: Butirrospermum Parkii (sperma di maiale).

 un firewall software sui notebook).
Già, così se i portatili si riconnettono ad internet con il 56k dopo due
secondi
hanno di nuovo tutti gli "animali" possibili a spasso in memoria e sul
disco...
Ciao

 disco...
lo so ma posso garantirti che OGNI COSA in mano a quei venditori diventa 
possibile.
mettere dei nuovi software significa, in parole povere, sentirsi 
squillare il telefono ogni due minuti perche' "che e' sta finestra che 
dice blocked?" e "la carla m'ha risposto col autluc ma ora c'ho una cosa 
gialla che mi chiede se autluc deve essere "trAsted: dove schiaccio?".
:-/
un suicidio (il mio e non solo).
penso che optero' per una soluzione di mezzo tra l'idea di leonardo 
(centralizzare il traffico sul server) anche perche' e' gia' 
praticamente cosi', e un qualcosa tipo file-manager in php/mysql per 
permettermi di chiudere le dannatissime porte netbios di TUTTI i 
dannatissimi pc.
ho qualche (preoccupante) dubbio sui servizi di stampa, ecco. :-/


 
Usa lpd/lpr, esiste anche su win.
Per il momento, non e' stato ancora exploitato.
Per il momento.


 :-/
Allora ... il discorso è *molto* semplice, se (come ho capito) ne va
della sicurezza e dell'integrità della LAN aziendale, la soluzione più
efficace sarebbe quella di impostare le utenze di quei portatili come
"user" (non "admin"), di impostare delle policies restrittive che non
permettano (ad es.) l'installazione di programmi, inoltre, visto che
dici di non voler installare un firewall (tu ti riferisci a "personal fw",
io
pensavo ad un normale packet-filter) potresti attivare una policy
IPSec tipo 
http://homepages.wmich.edu/~mchugha/w2kfirewall.htm
per filtrare le porte "indesiderate"; tutto questo ovviamente *DOPO*
aver ripulito abbondantemente le macchine; tieni presente che una
cosa del genere porterà ad una sequenza di reazioni tipo chiamate
ogni cinque minuti per richiesta di installazione di qualche tipo di s/w
perchè "non riesco ad installarlo" (ovvio <g>); a questo punto dovrai
avere pazienza, rispondere, considerare *SE* il software del quale è
richiesta l'installazione è veramente necessario/sicuro e in caso non
lo fosse, "rimandare" l'installazione e contestualmente inviare una
e-mail che spieghi in termini comprensibili alla direzione la situazione
ed il pericolo  derivante dall'installazione di "certo software" in questo
modo anticiperai il passo successivo da parte degli "untori", ossia il
tentativo di protestare con la direzione; in pratica, mettili in grado di
lavorare e *BASTA* e vedrai che i problemi si risolveranno (con un
minimo di tempo & pazienza); basta assicurarsi che le "alte sfere"
abbiano ben chiaro il problema in modo da "pararsi il deretano" ed
usare con gli "untori" una buona dose di "pazienza & cortesia" (a volte
si chiama ... presa per i fondelli .. vabbè <g>)
Ciao