Newsgroup: it.comp.sicurezza.varie
Titolo: Cosa far passare e cosa no...

Quali sono le regole generali per capire cosa far passare con un
sistema di controllo delle porte e cosa no?
Quali sono i servizi e quali invece gli indirizzi leggittimi?
Esistono delle regole generali valide?
Domanda da 1 milione di euro?
:-)
Ciao!

 Esistono delle regole generali valide?
la base su cui costruire e':
nessun pacchetto deve essere accettato
pacchetto tcp non syn e verso porte superiori a 1024 deve essere accettato
pacchetto udp verso porte superiori a 1024 deve essere accettato
ma e' davvero scarno e non personalizzato.
un mayhem che pero' spesso potrebbe anche bastare
--
what i choose to do is no concerne to you and your friends.
(remove ME to reply)

pacchetto udp verso porte superiori a 1024 deve essere accettato
vanno accettati anche tutti i pacchetti icmp, nonche' gli udp su porte 
non privilegiate altrimenti non sara' possibile ricevere le risposte 
dai dns.
inoltre non e' il caso di bloccare i tcp syn sulle porte non
privilegiate per  evitare problemi nei trasferimenti ftp in non passive
mode.
cmq non si puo' improvvisare l'implementazione di un fw, cosa molto di 
moda.
-- 
Firma contro la CENSURA:
 
http://punto-informatico.it/petizione.asp
nospam -> danyk

 moda.
Sacrosanto.

 dai dns.
Non tutti gli ICMP vanno accettati, ce ne sono anche alcuni che si
possono rifiuytare tranquillamente senza compromettere nulla.
-- 
Pierluigi De Rosa (
tho...@durin.khazad-dum.net
).
<<      LINUX: the choice of a GNU generation     >>
<<   For my real address... ask the Balrog.       >>
* Sostenete la Lega per la Soppressione dei Troll *

 pacchetto udp verso porte superiori a 1024 deve essere accettato
Mi spieghi meglio questa storia? Mi stavo chiedendo appunto che caxxo
fossero tutte le porte UDP aperte, immagino da WinMX, superiori a 1200,
mi pare...erano in listening, ed avevo alcuni mp3 in remote queue,
naturalmente! ;-)
Abbi pietà, lo sai che il linguaggio tecnico lo digerisco poco! ;-)
Saluti
Lella
--
Contro la legge sull'editoria
che fara' chiudere migliaia di siti
http://punto-informatico.it/petizione.asp

 Esistono delle regole generali valide?
No
Ciao
Lost
--
"How do you prove that you exist...? Maybe we don't exist..."

 moda.
assolutamente concorde (ora vado a parigi e decollo ;PPP) ma ho premeso che
di grossolana base su cui costruire parliamo.
un mayhem che il mio firewall ha piu' di 3 righe di rules ;P


 Io le ho negate tutte......ma ho sempre il dubbio....query o scan?
hum una tcp 53 -> 53 e' zone transfer al limite. ma da < 1024 a 53 in udp
non ha senso ... hum non so :(((
un mayhem febbre


 assolutamente concorde (ora vado a parigi e decollo ;PPP) ma ho
concorde... uhm... non e' certo l'emblema della sicurezza :)
ciao,
dan
-- 
s/nospam/danyk/g

 pacchetto tcp non syn e verso porte superiori a 1024 deve essere accettato
scusa ma le porte 2000 e 6000 non sono usate rispettivamente per sessioni
open-windows e x-windows.
l'avevi previsto nel "non  syn". fammi capire se sto' dicendo cretinate...
-togli una @-

 possono rifiuytare tranquillamente senza compromettere nulla.
potrei sapere quali?
TIA
-togli una @-

 l'avevi previsto nel "non  syn". fammi capire se sto' dicendo cretinate...
infatti se mi vuoi aprire una connessione verso la 6000/tcp non puoi: i syn
vengono sempre e comunque riufiutati.
un mayhem che sono a casa malato oggi ... ci voleva proprio :)


 ftp (e se gli parli di passive mode credono che sia un cosa sconcia).
hum scusa, ma mi capita spesso di scrivere senza sapere che dico, figurati
poi se leggo cose scritte da altri :DDDD cmq e' vero. solo che io ho deciso
che piuttosto che lasciare aperte le connessioni (leggi SYN) provenienti da
una porta 20 (e qui basta solo dire netcat...) ho preferito spiegare ad ogni
cliente a cui ho dato un router o un firewall che puo' usare solo l'ftp di
macchine unix, di As/400 e che per windows deve usare un client (cosa che
gli installo e configuro io, di freeware ne esistono na marea). poi loro
sono incaricati di fare la stessa cosa dagli utenti che abbisognano di ftp.
purtroppo io voglio dormire tranquillo la notte. che poi non ci riesca per
altri motivi pero' e' un altro discorso :DDD
un mayhem che confonde sempre ipchains con le access-list cisco ed a colte
nascono cose ... hum ...
