Newsgroup: it.comp.sicurezza.varie
Titolo: Il miglior firewall per ADSL

Scusate per il tipo di domanda...
ma mi hanno detto che il mio Zone Alarm avrà problemi quando passerò a
ADSL...
Con cosa posso sostituirlo degnamente?
Anzi... già che ci siete...secondo voi qual è il firewall migliore (più
sicuro, più potente,più configurabile).
Grazie!

 ha scritto nel messaggio
news:cxf3a.119363$ZE.33...@twister2.libero.it...



Premettiamo che i Personal Firewall sono applicazioni estremamente legate
alla piattaforma OS e pertanto si trascinano dietro tutti i problemi
connessi alle vulnerabilities di questi ultimi. Sono infatti più adatti a
interconnessioni dial-up per esigenze di base e, nel caso di connessioni a
banda-larga (tipo ADSL) le cose cambiano notevolmente. In questi casi
sarebbe pertanto consigliabile affidarsi a devices indipendenti dalla
macchina che si interconnette, ad esempio una LinuxBox, soluzione a basso
costo (basta anche un vecchio PC e due NIC). Comunque se proprio si deve
scegliere un Personal Firewall le soluzioni più performanti sul mercato non
sono certo ZoneAlarm o Norton o McAfee. Tra i più solidi vi sono BlackIce PC
Protection di ISS e Outpost Firewall Pro di Agnitum (estremamente
configurabile e personalizzabile), magari in accoppiata!
===========================
TCMAST3R
Portal Administrator
http://www.tcproject.info
Portale italiano sulla Security e sul Networking
===========================
--------------------------------
Inviato via 
http://usenet.libero.it

 Parlano bene di Kerio
confermo, eccellente e gratuito per uso personale. :-)
ampi i margini di configurabilita'

 ha scritto nel messaggio
news:cxf3a.119363$ZE.33...@twister2.libero.it...

Visnetic FW della deerfiled, devi avere un'idea di quello che stai facendo
pero' altrimenti vai su altri prodotti.

 Portale italiano sulla Security e sul Networking
Appro', signor webmaster, il quoting, il delimitatore standard e la
firma , grazie.
-- 
HappyCactus - Linux User #209744 - 
http://pngstego.sourceforge.net
 
              pngstego 0.3.2 has been released! 
/* Ci sono 10 categorie di persone al mondo: quelle che capiscono */
/* il sistema binario e quelle che non lo capiscono.              */

 firma , grazie.
Problemi?
--
http://www.tcproject.info


 Si': il delimitatore standard e' "-- "
Lo so, infatti mi sono adeguato sul mio ultimo post ( spiegazione lunga sul
perchè della mia firma con i delimitatori === ), ma la mia replica era
dettata dal fatto che mi sembrava che la questione non fosse solo il
delimitatore, ma l'esistenza di quel tipo di signature..... ;)
<A te, non ti piace, a me me piace>


 Problemi?
Il tuo quoting era abbastanza imbarazzante, ora va meglio ma dovresti
sistemare il separatore "linea linea spazio".


 signature..... ;)<A te, non ti piace, a me me piace>
No, un signature di 6 righe (oltre a quella di newsland) e' fastidiosa
per se, non per il suo contenuto. Per quel che mi riguarda, puoi
scriverci quel che ti pare (come faccio io)


 sistemare il separatore "linea linea spazio".
è troppo lungo da spiegare diciamo:
(sotto dettatura
con mano ingessata)


 firma , grazie.
lol :)
-- 
X-Planet Web Community	| 
www.x-planet.org
News Server			| 
news.x-privat.org
Ftp  Server			| 
ftp.x-freedom.org

 vittima della sua connessione permanente a banda larga?
Quindi agli utenti "alice 256" tu consigli di installare cisco?



bah!
--
http://www.tcproject.info



Mai detto questo!
Certo sarebbe bello che tutti potessero avere un Divece FW (Cisco PIX501,
SOHO WatchGuard, SoniicWall etc... - anche se io prediligo CISCO) come anche
i FW on Board sui Router ADSL (normalmente CISCO 827 o 3COM) anche se molte
utenze domestiche ADSL girano su modem, ma esistono anche Linux,
Free/OpenBSD ed altri. I costi di questi ultimi sono dettati dall'avere un
vecchio PC e due NIC ad un costo etremamente ridotto. Chiaro che se uno non
ha soldi da spendere allora il discorso cambia (ma allora si presume che i
PF che vuole utilizzare siano pirata!!! dal momento che anche questi
costano!). Questo dico... ;)
Non riesco veramente a capire cosa non vada nel discorso.... bah!


 Si chiudono le porte che vanno chiuse: game over.
Senti...non voglio far polemica fuori tema (non mi piacciono) ma ho notato
alcune cose....probabilmente sono io che non arrivo a capire, perchè
appartengo ad una vecchia generazione in cui le discussioni erano solo e
puramente tecniche, e dove tutte le opinioni venivano bene accette, un'epoca
in cui il "codice era veramente Libero" (rsm docet). Ma credo che chiusure
come la tua (game over) siano nocive alla crescita ed alla diffusione delle
informazioni (scopo credo di ogni NG). Non penso mai di avere ragione, ed
anche quando sono sicuro di qualcosa, mi pongo il dubbio che forse qualcuno
abbia qualcosa da insegnarmi.
Anche dopo 20 anni di onorata carriera in questo mondo. Probabilmente, anzi
sicuramente tu ne saprai molto di più, e potresti avere molto da insegnarmi,
ma certe affermazioni e chiusure non le capisco. Se non ami discutere che ci
vieni a fare in un NG? o se non ti piacciono o non condividi le mie opinioni
allora o ti spieghi o fai a meno di continuare a rispondermi.
In fin dei conti io ho espresso la mia personalissima opinione a un post non
tuo ma di avcc.
O vogliamo trasformare anche gli NG in chat da ragazzini dove il massimo del
tecnico è il modo in cui scrivono, le lettere i simboletti che hanno o non
hanno utilizzato? e i contenuti? che fine hanno fatto? ho sempre pensato che
fossero quelli a contare.
Poi fai come ti pare ....


 siano pirata!!! dal momento che anche questi costano!). Questo dico...
Dimentichi pero' che comunque la manutenzione di un sistema linux
richiede conoscienze al di la' dell'utente casalingo medio; e idem per
i vari appliance hardware: c'e' gente che non e' in grado di cambiare la
propria password della casella email, pensi che siano in grado di
pensare alla necessita' di cambiare quella del router???
Per il resto, concordo al 100% con quanto gia' scritto dall'amico Whip.


 Poi fai come ti pare ....
Resta il fatto che non mi sognerei MAI di consigliare un CISCO a chi a
malapena sa accendere e spegnere il pc.
Un firewall mal configurato e' peggio che nessun firewall, dato che da'
anche un falso senso di sicurezza.
Poi se pretendi che mio padre per elaborare 4 foto e scaricare la posta
una volta al giorno impari anche cosa sia il TCP, a 60 anni, allora mi
sa che non hai ben chiara la situazione REALE.
-- 
   => Don't Let Your Fears Stand in The Way of Your Dreams !!! <=
 
http://www.delymyth.net/
 ~ 
http://www.stores.ebay.it/delymythsstore/
 ICQ: 8761263 - MSN: 
dely...@msn.com
 E-Mail: 
DEly...@despammed.com
           => FREE! Hardware Anti-Virus!!! - /dev/brain <=


Questa è un ottimo argomento.
Sono d'accordo su quasi tutto tuo il tuo Post.
E' vero, hai perfettamente ragione.
Pensando alla difficoltà d'uso, il problema si sposta sull'usabilità!
Un argomentazione su cui riflettere e per cui ti ringrazio.
La soluzione non è tecnologica ma di scarsa conoscenza diffusa.
Solo che cmq il problema di una vasta untrusted policies delle utenze
domestiche è fonte di pericolo per tutti e in qualche modo dovrebbe essere
rimediata.
E' un argomento difficile mi rendo conto....
Forse la soluzione devono fornirla gli ISP (con servizi di Managed
Firewalling) che risolverebbero il problema alla radice.
Cmq spero tu possa capire la mia difficoltà ad accettare il fatto che si
debba parlare se sia meglio un PFW piuttosto che un altro! ;)
PS: Certamente che un DDoS non può essere fermato da un FW (semmai come dici
tu limitato). Infatti non intendevo questo. Ma un Fw (combinato a ben altro)
impedisce (parola forte e non sempre vera) che l'attacker prenda possesso
del/i sistema/i per lanciare da lì l'attacco a terzi. Chiaramente il FW non
è che la protezione logica perimetrale. E' una questione di exploits,
vulnerabilità non patchate, update non effttuati, IDS assenti, mancanza
totale di policies di controllo e ... potremmo scrivere un trattato sulla
Security! Però averlo o non averlo limita per lo meno la proliferazione di
danni da parte dei Lamers (sempre più numerosi). Quello che intendevo è che
possiamo anche chiudere la porta a chiave, ma se lasciamo le porte sul retro
e le finestre aperte, non controlliamo con sistemi anti-furto e via dicendo
... i ladri prima o poi entrano anche solo per veinre a cusriosare ... non
si sa mai.



 Mai negato (anche qui rileggi bene)! Cmq cvd.
--
http://www.tcproject.info


 E' semplice, e' economico, non causa mal di testa.
Si, ma non sempre fattibile.
HappyCactus e la 445/TCP di win2k



Allora siamo in 2. ;)
--
http://www.tcproject.info


 Io amo *molto* discutere. <g>
confermo, specie se uniamo una buona dose di trolleggio :)


 TCP/IP filtering di win2k?
provat, funziona discretametne.


 sopra". 
rotfl! :) Oppure peggio ancora, scrive su tutti gli ng imprecando 
l'odiato Bill gates..



Se non si devono mappare i dischi o non si devono condividere cartelle è
fattibilissimo chiudere la 445 ed inibire l'utilizzo della 445 TCP per il
NBT, anche se poi le connseeioni shiftano sulla 139, a meno che non si
voglia disabilitare completamente il NetBT (fattibilissimo e senza riavviare
la macchina). Oppure rendere untrusted via fw il traffico NETBIOS over
TCP/IP, un po' esageratello ma ...
--
http://www.tcproject.info


 TCP/IP filtering di win2k?
Mi pare che la sostanza cambi poco. Anzi, forse e' pure meno appetibile
all'utonto medio. boh.


 esageratello ma ... 
Scusa se dissento, ma vorrei ricordarti che qualsiasi connessione 
remota dial-up creata da win, di default, ha il netbios disabilitato
su TCp/IP diversamente dagli altri Win dove per farlo occorre 
masticarci un attimo. Ritengo sia, ihmo, invece molto importante che
sia disabilitato e per nulla esagerato...poi fati tu.
Un Dmitry che accarezza il suo fido w2k fare a botte con freebsd :)



Che debba essere disabilitato sono d'accordo, ma attenzione che disabilitare
su tutte le NIC (nelle properties sotto WINS tab) puň causare problemi al
DHCP Client Service, che da alcuni ISP č richiesto.
Poi non dimentichiamoci che c'č anche la 135! E cosa fai lě? Disabiliti il
DCOM?
Cosě puoi creare problemi ad altre applicazioni che lo utilizzano? (vedi
Windows Media)
Forse č un po' complesso e di certo per l'utente medio estremamente ostico!


 appetibile all'utonto medio. boh.
č sostanzialmente facile da configurare.


 sistema come tu dici? Mi vien da ridere solo pensarlo.
windowsupdate, e dato che ormai si parla quasi solo di adsl, i router
della zyxel chiudono di default le porte netbios, senza nemmeno
configurazione.
Chiudere quei servizi e' questione di pochi click e si puo' anche creare
un programmino ad hoc che lo faccia, piuttosto che, dato che molti pc
vengono venduti preinstallati, sistemare il problema alla radice.
E chi reinstalla sa benissimo aprire lo snap-in dei servizi.


 estremamente ostico! 
Non cambio idea, del resto č il default di M$


 A quale win ti riferisci? a tutti gli altri escluso 2K?
si


 TCP/IP filtering di win2k?
essendo la mia ignoranza in proposito crassa e abissale, mi spenderesti 
due parole in più sul come, esattamente? altro hardware non posso e non 
voglio doverlo comprare, e i personal firewall contengono troppo codice 
da disassembler per i miei gusti
-- 
  < 
http://www.reactos.com/
 >  Open source clone of Windows NT. Current
      Don't stand, REACT!      version 0.1.0. C, C++ and ASM developers
                               and beta testers are welcome!

 Cosě puoi creare problemi ad altre applicazioni che lo utilizzano?
in locale, RPC non usa TCP, ma il protocollo LPC. Che l'endpoint mapper 
debba ascoltare sulla 135 di tutte le interfacce č una gran cazzata. E' 
molto raro doversi connettere ad un dominio/workgroup/disco di rete via 
Internet, e per farlo č meglio usare una VPN o IPSec, piuttosto che una 
connessione diretta. Personalmente, farei carte false pur di riuscire a 
chiudere tutte quelle porte inutili - se voglio condividere file con le 
mie macchine virtuali VMware, non vedo perchč condividerli anche con il 
resto del mondo (cioč, il servizio Server mi serve attivo ma non aperto 
verso l'esterno)


 spenderesti due parole in più sul come, esattamente? 
Uhm, dovrebbe esserci una finestra proprieta' in giro per gli
innumerevoli pannelli di win2k.
mi pare che si chiami ipsec (non ha niente a che fare con un certo
omonimo)


 omonimo)
Ci sono tre diverse tipologie di filtraggio che si possono attuare:
1)   Risorse di rete > Connessione alla rete locale > Proprieta' > 
     Protocollo TCP/IP > Proprieta' > Avanzate > Opzioni >  Filtro
     TCP/IP: abbastanza autoesplicativo. Solo traffico in ingresso
     e si puo' filtrare per indirizzo ip. Grezzo ma efficace. 
2)   Critreri di protezione locale > Criteri di protezione IP: serve
     per definire i "criteri ipsec". Non e' di utilizzo immediato ma
     e' molto granulare. Il traffico lo puoi accettare, rifiutare od
     anche condizionare all'uso di ipsec con un eventuale fallback a
     una comunicazione normale. Non puo' filtrare la porta IKE. 
3)   (solo per  win2k server AFAIK) Routing e accesso remoto > Server
     > RoutingIP > Interfaccia > Proprieta' > Filtri. Autoesplicativo
     pure questo, direi.
Fabio

E chi reinstalla sa benissimo aprire lo snap-in dei servizi.
Member of 
www.hackeralliance.net
®
Member of 
www.zerohack.it
®

 omonimo)
Proprietą di rete->opzioni->avanzate->filtro tcp/ip
