Newsgroup: it.comp.sicurezza.varie
Titolo: Qualche suggerimento su come rendere un PC sicuro (o quasi)

Mi hanno chiesto cosa fare per rendere un pc sicuro...
ho dato fin troppi elementi (e molti non saranno compresi:-(
comunque alcuni di questi sono validi per tutti
anche se sono cose note
spero di fare cosa gradita riportando un piccolo estratto:
- Impostare la pwd del bios
  E' molto facile da superare ma richiede un po' di tempo :-)
- Impostare sequenza di boot solo su C
  Niente boot da cd o chiavetta usb con knoppix o simili per
  poi tentare di forzare la pwd di windows o di usare i vari doc
- su pc aziendali disabilitare (da bios) floppy e porte usb
- su windows disabilitare LM Hash delle pwd
  troppo facile da forzare
- password di windows di almeno 10/12 caratteri con cifre e caratteri
speciali
- non usare account admin per lavorare ma fare almeno due account
  oppure usare dropmyrights
- fare regolarmente windows update e office update
- aggiornare giornalmente i vari programmi di sicurezza:
  firewall (quelli sw non sono nella mia lista di prefereti comunque:
  ZA PRO, firewall di KIS 6, jetico, comodo, kerio)
  antivirus/antispyware (se non volete spendere nulla usate AVS!
  i vecchi AV free AVAST, AVG, ANTIVIR dovranno cambiare qualcosa
  per recuperare terreno)
  antirootkit
  antispam
- Fare regolamente scan completo sia con antivirus principale
  sia con antivirus secondario (mai fidarsi di uno solo...
 ma attenzione il secondo solo scan on-demand, cioe' niente protezione
 attiva, di recente ho
  provato bitdefender 8 free: molto utile)
  e/o vers free online (kaspersky, mcafee, etc)
- Aumentare il livello di protezione del browser
  e lasciare il livello medio solo per i siti "ritenuti" sicuri
  Ancora meglio creare un livello di protezione personalizzato
  con richiesta di conferma per le varie attivita'... un po' lento
  ma sicuro e comunque puoi sempre inserire i siti sicuri nella lista
  dei siti sicuri (scusate il pessimo italiano ma ho pochissimo tempo)
  in modo da usare su questi il livello medio.
- Aumentare il livello di protezione per i cookie
- Se proprio dovete/volete usare siti non sicuri e/o programmi
  "strani" usate una macchina virtuale che potete buttare via
   quando volete e ritornare alla situazione pulita
  ormai il sw e' gratuito MS Virtual PC 2004, VMWARE
- Alla fine di tutto il setup create una bella image del
  disco cosi' in caso di danni ripristinare il tutto sara'
  un gioco da ragazzi (purtroppo in questo caso il sw migliore non e'
free:-(
- Fare backup regolare dei documenti (il vero "patrimonio" del vostro
pc)
- Criptate i file piu' importanti e/o delicati, un buon
  algoritmo (non troppo lento) e' AES256 bit incluso in molti programmi
  anche il diffusissimo winzip
- poi le solite cose, non accettare file da sconosciuti
  prima di rispondere "YES" al browser al programma AV
  e al FIREWALL fermatevi due secondi, poi fate il vostro
  maledetto click
Aspetto commenti e ovviamente integrazioni.
Ciao,
Marco.

 ...
"l'unico computer veramente sicuro è spento, chiuso in un blocco di 
cemento, sigillato in una stanza con le pareti di piombo e guardie 
armate alla porta. Ma anche in questo caso ho i miei dubbi"
[cit. prof. Eugene Spafford]

aggiornare giornalmente i vari programmi di sicurezza:
  firewall (quelli sw non sono nella mia lista di prefereti comunque:
  ZA PRO, firewall di KIS 6, jetico, comodo, kerio)
  antivirus/antispyware (se non volete spendere nulla usate AVS!
  i vecchi AV free AVAST, AVG, ANTIVIR dovranno cambiare qualcosa
  per recuperare terreno)
  antirootkit
  antispam
Confermo in pieno ..ho appena installato AVS dopo aver letto il tuo post e 
mi ha risolto un bel pò di problemi.. prima avevo avg ma non è x niente la 
stessa cosa
Sonny - boy 

   per recuperare terreno)
mi sa che questo AVS lo provo anche io (per chi fosse interessato il 
sito è 
http://www.activevirusshield.com/antivirus/freeav/index.adp
), 
attualmente ho avast.
ps evitare in futuro il crosspost :)

 Aspetto commenti e ovviamente integrazioni.
Un'integrazione: usare Firefox o Opera al posto di IE,
e una domanda: come si disabilita l'LM Hash delle pwd 
in Win2000 ?
Grazie.

 Mi hanno chiesto cosa fare per rendere un pc sicuro...
installare linux :-)
-- 
echo 15225453802040233345540387594P | dc

 Grazie.
Ciao,
Marco.

 ps evitare in futuro il crosspost :)
Hai ragione e' un brutto vizio!

 PS: durante il setup NON INSTALLATE LA TOOLBAR!!!
grazie non l'avevo ancora installato perchè ero un po' scettico, ora 
mando avast a nanna...

 In questo momento e' il miglior AV free.
è un bel IF quello che metti... 

markus wrote:

Dissento. Questa citazione era corretta ai tempi (anni '80 del secolo
scorso) di TCSEC e Orange Book, dove l'unico criterio di sicurezza era la
CONFIDENZIALITA'.
Oggi SICUREZZA e' il bilanciamento di CONFIDENZIALITA' -  INTEGRITA' -
DISPONIBILITA' . Un computer spento, sigillato, etc. etc. manca totalmente
di disponibilita' (essere accessibile a quanti hanno diritto ad accedervi).
-- 
AB

 ...
...per affermare che la sicurezza assoluta è un'utopia.

 - non usare account admin per lavorare ma fare almeno due account
Questo dovrebbe essere al primo posto a molte distanze di lunghezza da
tutti gli altri. E aggiungerei "non dare comunque account amministrativi a
chi non deve amministrare il sistema".

Vera Gemini ha scritto:

Il problema è che, spesso, a differenza del mondo Unix, molte applicazioni
non funzionano come si deve quando sono eseguite in modalità utente non admin.
Naturalmente sto parlando di applicazioni non proprio diffuse: CAD, fororitocco,
ecc. ecc.
Per esempio, il mio scanner non ne vuole sapere di funzionare come utente, ma
funziona solo come amministratore.

 funziona solo come amministratore.
Nella maggior parte dei casi questi problemi si risolvono autorizzando
l'utente al controllo completo delle opportune chiavi di registro o della
cartella con il programma in questione. Per la mia esperienza, in
questo modo sono sempre riuscito a far funzionare tutto compreso cose non
troppo comuni, mi sono dovuto arrendere solo con una stupida
fotocamera digitale!
Purtroppo, dato che risolvere queste situazioni richiede l'intervento di
uno che "ci capisce", Windows nasce con l'utente di default
amministratore, altrimenti il prodotto sarebbe stato praticamente non
commercializzabile, con la maggior parte degli utenti che non sarebbero
riusciti a far funzionare molti programmi.
Ora se questo poteva essere comprensibile al momento del passaggio da
98/ME a 2000, lo era gia` molto meno qualche anno dopo con XP. Sono
convinto che questa situazione sciagurata sia stata la causa n.1 del boom
dei troiani, dialer e monnezza varia che imfestano i computer della gente.
Troppo facile sfruttare le vulerabilita` del browser o dell'email o di
altre parti del sistema quando hai sempre diritti amministrativi.

 
<premessa>
Non vuole essere una polemica
</premessa>
Infatti i sistemi *nix sono tendenzialmente più sicuri di quelli Windows 
appunto per questo.
In molte distribuzioni, il login di root (l'ammistratore per dirla in 
parole spicce, colui che tutto sa e tutto può sulla macchina) con i 
desktop manager grafici è inibito apposta di default. Vige la regola: 
Lavorare come root è male.
Se poi hai bisogno di fare qualcosa, puoi sempre elevare i tuoi diritti 
temporaneamente (un bel "su -" o un "sux -" o un "sudo <comando>", per 
dirne alcuni).
Questa cosa è stata recepita in M$ solo con (s)Vista (che se non ricordo 
male, permette di elevare i diritti solo temporaneamente e per il resto 
del tempo lavorare come utente normale).
In effetti la difficoltà maggiore di chi scrive Trojan (i figli della 
stessa) o rootkit (come la Sony nei suoi cd musicali) o altre schifezze 
simili (dialer e chi più ne ha più ne metta :-) ) è quella di non farsi 
scoprire, non quella di ottenere i diritti di amministrazione per fare 
quello che si vuole.
Aggiungete poi che nei sistemi XP Home l'utente amministratore ha 
password vuota (a meno che qualcuno che ne sia a conoscenza non la cambi 
dopo l'installazione) ...
LP
-- 

Mai avuto un antivirus e ammennicoli vari...
è dal 6 dicembre 1996 che navigo.
Mai preso nulla.

dopo l'installazione) ...
E' anche vero, però, che tale utente è disabilitato in modalità
normale.
-- 
Ci sono 10 tipi di persone al mondo: quelle che capiscono il sistema binario
e quelle che non lo capiscono.

 Mai preso nulla.
Eccololla' ci mancava. Come fai a dire di non avere nulla se non hai un 
antivirus o altro?
-- 
Sugar Bing

 
Non del tutto vero.
Non è possibile fare login sulla macchina come Administrator se non in 
modalità provvisoria, ma se da un altro pc in rete lanci un bel
net use \\computer /user:administrator ""
(o relativo in ambiente grafico)
ci entri, eccome.
non ci sono più le sharing di sistema di NT 4 e NT 5.0 (aka 2k), ma 
l'utente ammistratore è attivo.
LP
-- 


Può darsi benissimo che qualche trojan l'abbia preso,
ma somo pericolosi fino ad un certo punto
X il resto basta usare piccoli accorgimenti, tipo
disabilitare l'anteprima dell'email in arrivo
disabilitare i numeri xxxx
usare carte di credito prepagate
salvare dati importanti in un'altra partizione
ogni tanto formattare e reinstallare l'immagine del sistema .

 ogni tanto formattare e reinstallare l'immagine del sistema .
Epperchemmai, se sono "pericolosi fino ad un certo punto"?
In ogni caso, ci vedo una *enorme* differenza da
«Mai avuto un antivirus e ammennicoli vari...
è dal 6 dicembre 1996 che navigo.
Mai preso nulla.»
-- 
Skull & Bones (ER6n Silver)

 ogni tanto formattare e reinstallare l'immagine del sistema .
Sei di fuori come una campana. :)
A parte che il salvare i dati in un'altra partizione non vedo a cosa 
possa servirti se  puoi comunque accederci da quella dove hai il SO, e 
poi naturalmente non hai nemmeno l'home banking, non navighi sul web... 
insomma tu puoi fare quello che vuoi del tuo PC ci mancherebbe ma 
sinceramente se scrivi su un NG che "io navigo dal 96 senza nessuna 
protezione e non ho preso niente"
a) non dai un buon consiglio a chi ti legge
b) non è nemmeno che ci fai una bella figura, anche perchè potresti 
essere tranquillamente un veicolo ideale per molta robaccia ed infettare 
altri ignari utenti prima che tu possa renderti conto.
Io navigo da un bel po' prima di te e nonostante le protezioni ogni 
tanto qualcosa capita, quindi non vedo come tu possa dire di non aver 
preso niente. Purtroppo non esiste una "patente" per navigare in 
internet perchè altrimenti tu saresti proprio un caso da ritiro. Viste 
le modalità di diffusione della robaccia attuale uno che deliberatamente 
non protegge il suo PC è un potenziale pericolo per tutta la rete.
Spero che prima o poi ti friggano la MB. :))
-- 
Sugar Bing

Sloow wrote:

... 20 Aprile 1988; sempre da macchine Unix (nelle sue varie declinazioni
Unix System V, Xenix, Aix, HP/UX, Linux). Sempre usate precauzioni contro i
"malicious code". TRE (diconsi tre) "codici maligni" sono riusciti a
vederli anch'io (di cui uno NON dalla rete) pur in ambienti che non ne
vedono molti.
Ergo, a maggior ragione userei qualche precauzione se usassi macchine MS,
visto che, se sei una ditta/azienda, e' anche un obbligo normativo--giusto
per ricordarlo (rif. dlgs.196/2003 e art.615-quinques del c.p.).
-- 
AB

ci entri, eccome.
Non certo con l'utente Administrator.
Windows XP Home non supporta l'accesso da rete tramite account, puoi
usare "Administrator" o "Pincopallo" [1] ma lui comunque ti autentica
come Guest.
L'utente "Administrator" fuori dalla provvisoria non funziona.
[1] Inteso come nome utente a caso non esistente in locale.



Questi sono alla portata di tutti (facili da usare):
Sophos Anti Rootkit
F-Secure BlackLight
Ciao,
Marco.

fotocamera digitale!
Ci dici come fare? Io ho lo stesso problema e uso l'account
amministratore per questo.... Qualche link, suggerimento etc.
Help me!

 [cit. prof. Eugene Spafford]
L'unico computer veramente sicuro è spento, smontato, sparsi i pezzi in 
giardino, ogni pezzo martellato 15 volte, bruciato, corroso da 12 acidi 
a scelta, e passati con una schiacciasassi... e anche in quel caso 
potrei essere sfortunato..

 Sophos Anti Rootkit
A me trova solo questa cosa?
Area:	Windows registry
Description:	Hidden registry key
Location: 
\HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\d347prt\Cfg\0Jf40
Removable:	No
Notes:	(no more detail available)
Guardando in giro sembra che non sia io il solo e quindi non mi 
proccupo. Spero. :)
Credo che sia qualcosa collegato a daemons tools, chi ne sa di piu'? :)
-- 
Sugar Bing

 ma somo pericolosi fino ad un certo punto
Rotfl.
"Ho preso l'aids, ma rischio di crepare fino a un certo punto"

> ogni tanto formattare e reinstallare l'immagine del sistema .
Giuro che questa la faccio incorniciare.

 Giuro che questa la faccio incorniciare.
Forse voleva dire questo..come è scritto piu su.
Alla fine di tutto il setup create una bella image del
  disco cosi' in caso di danni ripristinare il tutto sara'
  un gioco da ragazzi



Già, in caso di danni. In caso vada tutto bene invece "ogni tanto 
riformattare", che non fa mai male. :)
P.S.: ho tolto il cross-post