Newsgroup: it.comp.sicurezza.varie
Titolo: Ecco il vero penetration test

Ecco un programma che nelle intenzioni dovrebbe far capire molte cose a
molti colleghi amministratori di sistema.
La protezione dell'azienda passa per ... Router ben configurati, firewalls,
iptables, rigorose turnazioni di password, policy restrittive ...
Ma sarà mai un utente Windows così 'pirla' mettere in pericolo tutto ciò?
No, tutti sanno che non si devono lanciare eseguibili non richiesti, magari
con nomi palesemente a rischio ecc.
Ma siamo proprio sicuri?
Ho quindi inventato un bel test che potrebbe farvi passare 'fremiti di
freddo' e che si propone motivazioni didattiche.
E' un eseguibile (Open Source in Visual Basic anche perchè avrebbe tutti i
presupposti per essere invasivo).
L'ho chiamato ChickenFinder ma all'uso conviene rinominarlo in un GiocoSuper
PacMan o altri nomi accattivanti, più il nome è palesemente pericoloso più
il test è significativo.
Mettete l'exe in una bella directory di rete condivisa sotto gli occhi di
tutti.
Già così funziona, senza fare nulla (presenta pochi termini in inglese
banale).
Il programma lanciato segna che utente Win lo ha lanciato, quando e da che
PC.
Chiede conferma (e traccia pure quella).
Chiede l'email (e traccia pure quella).
Chiede di registrarsi inventando una password (ne tiene da conto la
lunghezza e se i caratteri sono tutti uguali per capire se è verosimile, ma
non la memorizza, anche per i pirla non vuole essere uno spyware).
Insomma un escalation di 'pirlaggine'.
Se una arriva alla fine dice Chicken! (di default, onestamente il minimo che
si possa dire), oppure quello che vi pare oppure potete metterci un 'Error
221 in ExtraCicken.DLL' (in modo che chi ci è cascato non allerti altri),
oppure può rimandare a un sito che volete dove potete sbizzarrirvi in
imprecazioni, ramanzine ed altro.
L'output esce in un file di testo con lo stesso nome del programma di
default nella stessa directory con estensione jpg (ma è un log testuale),
le eventuali configurazioni vanno invece in un bmp (altro file di testo).
Il programma può essere configurato e tradotto in qualsiasi lingua lanciando
chickenrun configure
A fine giornata andate a leggervi il log, attenti alle coronarie.
In particolari situazioni consiglio di portare i risultati (senza presentare
i nomi) a chi di competenza, potreste cominciare un po di formazione
interna spendendo un po meno per le Policy e un po più per rieducare gli
utenti.
Il non uso di tracciamento via Web o FTP è voluto, il programma è e deve
restare un test non invasivo.
.... a lo trovate in fondo alla pagina su 
www.holzl.it
 o sul mio blog
www.holzl.it/blog
Penso che sia un esperienza educativa che ogni amministratore di sistema
dovrebbe fare almeno una volta nella propria struttura.

dovrebbe fare almeno una volta nella propria struttura.
Tieniti Maalox e Prozac a portata di mano, fidaty ;) f.d.
Leonardo BTDTGTTS [1]
[1] 
http://snipurl.com/22q9n
--
The stars have not dealt me the worst they could do:
My pleasures are plenty - my troubles are two.
But oh!, my two troubles, they reave me of rest:


 un amministratore di sistema  dovrebbe GIA' comportarsi come se TUTTI gli 
utenti fossero gia' arrivati all'ultimo stadio di ChickenFinder..:.-)
ciao
fm 


Un amministratore di sistema _SA_ che i suoi utenti *sono* all'ultimo
stadio di ChickenFinder.
-- 
           |Save our planet!
    Ciao   |Save wildlife!
   roberto |For your E-MAIL use ONLY recycled Bytes  !!
           |roberto poggi   
rpo...@softhome.net

 
Un amministratore di sistema spera che, col tempo, i suoi utenti 
miglioreranno fino a poter arrivare all'ultimo stadio di ChickenFinder.
-- 
Fa freddo nello scriptorium, il pollice mi duole. Lascio questa 
scrittura, non so per chi, non so più intorno a che cosa...
U. Eco

 miglioreranno fino a poter arrivare all'ultimo stadio di ChickenFinder.
Per diventare l'uomo che è adesso, un amministratore di sistema in gamba ha
dovuto fare molti sacrifici. UMANI!
-- 
Ciao, Guglielmo.

 degli esseri umani ?
LOL! in effetti... :)
-- 
Ciao, Guglielmo.

> Ma IMHO il tizio dira' "Si firma Britney, non puo' essere Paolo
*click*".
quattro minuti dopo il "boss" chiamerà al telefono, ed arrivato nel suo
ufficio scoprirai che il motivo della chiamata è relativo al fatto che
la
poltrona (in pelle umana) è consumata e che ha deciso di farla rivestire

 specie se non hai un'autorizzazione scritta
Ovviamente non sono giurista anche se ho visto molti convegni sull'argomento
per cui baso sulle argomentazioni che ho sentito in situazioni analoghe. 
La cosa non è molto difforme dall'analisi di un log per sicurezza o
sniffamento di una rete in caso di sovraccarico.
Le regole non possono che essere in queste situazioni piuttosto sfumate per
cui a parità di regole l'interpretazione potrebbe essere soggettiva.
Distinguerei tra lo strumento e l'uso dei risultati, in pratica se questo
deve servire a capire se ci sono falle nella struttura, se sei il
responsabile informatico della stessa, la cosa trova quasi sicuramente
giustificazione.
L'importante è il comportamento conseguente in caso di 'positività', in
pratica puoi parlare del peccato ma non del peccatore, puoi benissimo dire
che a fronte di un test il 2% ha fatto così ecc.
Un po come il medico che dice che ha il 2% dei pazienti con L'AIDS, lo può
fare, la cosa è ben diversa se dice tizio ha l'AIDS.
In queste situazione è prescritto che l'uso dello strumento non deve essere
eccessivo rispetto alla finalità, in tal caso sapere gli utenti e più posti
di lavoro oltre che il grado di 'pirlaggine', serve a capire su che target
intervenire e con quali argomenti, sempre senza dire chi ha fatto cosa.
Insomma a mio parere usato sotto questa forma sulla base delle mie
conoscenze dovrebbe essere assolutamente lecito. 

 [1] 
http://snipurl.com/22q9n
Me too:
http://groups.google.com/group/it.comp.os.dibattiti/msg/9990916598f99ac2
Un Paperino in AOL mode. 


http://groups.google.com/group/it.comp.os.dibattiti/msg/9990916598f99ac2
"Gianni, sono venuto subito appena ho saputo... ma perche' l'hai fatto?"
"Cliccare sul programma? Ma io pensavo... non credevo... il programma..."
"No, no, ma che programma! Gianni, che hai fatto! Che hai fatto!"
"Ma cosa? Cos'ho fatto?"
"Oddio, oddio, Gianni! Presto, dammi le mani!"
"Ma che sei diventato mattAAAAAAAHHHH!"
(Impiegato si taglia le vene; si ignorano le cause del folle gesto. Il
corpo trovato dall'amministratore di rete. Particolari in cronaca)
Leonardo


 corpo trovato dall'amministratore di rete. Particolari in cronaca)
Naaah. E' partito improvvisamente per l'estero, non l'hanno
più rintracciato.
Un Paperino "...quale strano odore nel CED ? Io non lo sento..." 

--> "P" == Paperino  <non...@lo.dico.invalid> writes:
P> Un Paperino "...quale strano odore nel CED ? Io non lo sento..." 
Più che un CED, l'Olimpico, ci vorrebbe...
E che  fare di quelli che NON  prendono il virus, ma  mettono in Allarme
Rosso Virus Mortale un intero Dipartimento perché Windows gli ha dato un
BSOD? Una giornata a controllare  cosa passava per la rete (niente...) e
a distribuire calmanti  (virtuali, come la loro ansia)  agli altri uten-
ti...
Saluti,
Luca Polo.
-- 
 /Luca Polo : 
Luca...@gest.unipd.it
 || Dipartimento di Tecnica e       \
| System & network administrator      || Gestione dei Sistemi Industriali |
 \
http://www.gest.unipd.it/~jake
      || Universita` di Padova -- Italy  /

 giustificazione.
Propongo un'integrazione al tuo penetration test. Prima della finestra 
che strilla "Cucu!", o "Chicken", l'utente deve spuntare una casella 
accettando un'informativa al trattamento dei dati che specifica che 
proseguendo autorizza qualsivoglia uso dei dati raccolti e la loro 
cessione a qualsivoglia terzo per qualsivoglia indagine di mercato.
Immagino che cliccheranno lo stesso in tantissimi. :)

 questa è la volta buona che mi decido a dare fuoco a guardafuori espresso
O almeno ad aumentare il timeout di connessione. :-P
Ah, e ad aggiornarlo. L'ultimo a me risulta 6.00.2900.3138.
Un Paperino che ogni volta deve cambiare gli header... che OO.

"Paperino" [by Microsoft Outlook Express 6.00.2800.1914] on Tue, 1 Apr





Visto che usate OE (come me) e non siete dei newbie, perché non provate 
il suo plugin Fidolook (interamente scriptable, usa anche le regexp) che 
offre potenzialità che altri NR non hanno?
Non è userfriendly, richiede molto impegno, ma potete farci di tutto. :)
-- 
    * b *       Il tuo post è privo del MIME, attivalo in OE.
  *   y   *       Per impostare correttamente Outlook Express
*   Piero   *       e OE-QuoteFix, puoi consultare Wikipedia:
http://wiki.news.nic.it/GuidaNr_2fOutlookExpress?action=recall&date=1172714805
 

 si ... su che O/S :) ?
Ah, boh. Io mica lo uso... mi limito a copiare gli header :-).
Bye, G. 

 Visto che usate OE (come me)
Eh... no, o almeno non molto spesso. Come dicevo nell'altro
post, di solito faccio solo finta :-)
Bye, G. 

 Immagino che cliccheranno lo stesso in tantissimi. :)
Bella idea, vado oltre deve contenere una enormità di autorizzazioni (con la
ldoppia conferma tipica delle clausole vessatoire) ma che alla fine siano
illegittime anche per renderle inutilizzabili.
... quando ho un attitmo ..