Newsgroup: it.comp.sicurezza.varie
Titolo: Una domanda su ipchains

Visto che ogni tanto utilizzo servizi tipo rdate, telnet, finger
(
kernel.org
), ecc... avevo messo una regola del genere:
ipchains -A input -i ippp0 -p tcp ! -y -s 
0.0.0.0/0
 -j ACCEPT
prima dell'ultima:
ipchains -A input -i ippp0 -s 
0.0.0.0/0
 -d 
0.0.0.0/0
 -j DENY -l
aprire le porte per tutti i servizi che non siano portscan e affini
(SYN) è un rischio per la sicurezza oppure no? 
Ciao, Andrea
-- 
#include <signature.h>
e-mail:  
andrea...@libero.it

Andrea Carosi aveva scritto qualcosa nel messaggio; io ribalto la domanda:
Cos'e' per voi la sicurezza? A quanto sembra basta che ci sia un firewall
per coprire le pezze di qualcosa che non riuscite a gestire? Oppure vi
sentite al sicuro dietro qualcosa dal nome altisonante?
Auguri di Buona Pasqua
Lost
---
"Out the network, through the ISP, down the ISDN, over the leased line,
off the bridge, past the firewall...nothing but net"

 (SYN) è un rischio per la sicurezza oppure no?
la regola dovrebbe essere:
ipchains -A input -i ippp0 -p tcp ! -y -s any/0 --destination-port !
0:1024 -j ACCEPT
ma se bindi correttamente i servizi, disattivi i non necessari .... beh ...
a che ti serve?
poi nell'ottica del security trough obscurity io consiglio un -j REJECT e
non deny.
un mayhem che si protegge con un grazioso maglioncino di lana (fair whole)
--
Three things are certain: Death, taxes and lost data. Guess which has
occurred.
(remove ME to reply)

 a che ti serve?
Già fatto, però ogni tanto uso qualche comando nuovo ed in questo modo
lo posso usare tranquillamente senza dover scrivere la regola apposita
Ciao & grazie, Andrea
-- 
#include <signature.h>  E-mail: 
andrea...@libero.it
Firma la petizione contro la nuova legge sull'editoria:
http://punto-informatico.it/petizione.asp

 sentite al sicuro dietro qualcosa dal nome altisonante?
Non capisco il senso della domanda, puň capitare che il server smtp
sulla tua macchina sia configurato male, ho qualcuno abbia scoperto un
bug per ottenere dei privilegi particolari, in questo caso il firewall č
"una sicurezza in piů", non la panacea di tutti i mali
Ciao, Andrea
-- 


 "una sicurezza in piů", non la panacea di tutti i mali
Sul fatto che non sia la panacea di tutti i mali ci troviamo perfettamente
d'accordo, ma dalla mia esperienza, posso dire che in una rete bene
organizzata il firewall puo' anche essere tenuto fuori.
Una rete bene organizzata significa una rete dove il sysadmin (o come lo si
vuole chiamare) sia effettivamente presente e attivo e che, oltre ad
occuparsi delle macchine, si preoccupi anche della sicurezza delle macchine
(si badi che l'occuparsi delle macchine e della loro sicurezza sono due cose
ben distinte ...).
Una rete dove non si installi una red-hat e la si piazzi in bella mostra
senza aver prima fatto hardening ... dove non si installi solaris senza
prima essersi resi conto di cosa serva o meno ... una rete dove non sia
presente una macchina nt con le condivisioni 'amministrative' aperte e la
passwd di administrator = "" (ovvero vuota).
- gli esempi precedenti sono reali -
Ma questo purtroppo non e' la prassi (almeno in Italia) e ci si affida ai
firewall per coprire l'assenza di un sysadmin o per eccesso di fiducia nello
stesso (ed ovviamente per risparmiare soldi, un PIX si acquista una volta,
un sistemista lo devi pagare ogni mese).
Alla fine ti trovi la rete hackata (e neanche te ne accorgi ... oppure te ne
accorgi quando facendo un giro per irc ti trovi un bel bot tipo
lame...@ufficiodirettore.reteconfirewall.com
 ) oppure con problemi che non
riesci a risolvere (e poi devi pagare gli interventi tecnici di un
consulente esterno ....).
Come al solito ... (chiedo scusa per lo sfogo :| )
Lost (.
n...@rome.com
)

(SYN) è un rischio per la sicurezza oppure no? 
Dipende cosa c'e' dietro. Io di solito lascio aperto tutto: tanto, su
una box minata con solo il server sshd, ci fai tanto di quel poco...
...certo, se invece hai ftpd, Apache, named o sendmail (aaargh), e ti
senti piu' sicuro lasciandoli attivi e irraggiungibili a bruciare RAM
e/o CPU e/o swap invece che disinstallandoli... 8-)
...oppure se vuoi fare da server SOLO per certi hosts all'interfaccia
pubblica, e tcpd non si applica o non basta...
...allora, firewalla.
Leonardo
-- 
UberNet 207.46.130.45 (*) - guest login ok 00:00-08:00 GMT
(*) bring to my attention the obvious so I can admire your
    powers of deduction - and what was your account again?