Newsgroup: it.comp.sicurezza.varie
Titolo: impedire connessioni alla rete interna

Salve a tutti, espongo il problema:
in un ufficio in cui si trattano dati riservati si vuole impedire che un 
estraneo colleghi un pc portatile alla rete cablata per sottrarre dati da 
alcune cartelle condivise.
Si vorrebbe pertanto creare un sistema che permetta di funzionare soltanto 
ai pc gią connessi, e che vada oltre ai classici nome utente e password per 
il server, per impedire che uno stesso dipendente con le proprie credenziali 
possa collegare un altro pc.
C'č una qualche codifica che permette al titolare di inserire la prima volta 
una password soltanto sui pc che vuole collegare, similmente a quanto 
avviene con le chiavi wep o wpa dei sistemi wireless che restano in memoria 
e non si vedono, o altri sistemi che permettano lo stesso controllo?
Grazie, ciao
RAY 

 una password soltanto sui pc che vuole collegare, similmente a quanto avviene 
Puoi usare una access list basata sul MAC address: puoi farlo 
direttamente sui server. Oppure optare per una soluzione piu' evoluta, 
come quella di Enterasys per la gestione centralizzata della sicurezza. 
E ancora, una soluzione es. 
www.safend.com
 per evitare furti di dati a 
mezzo chiavette USB e simili.
Ciao
Luca



un'alternativa "semplice" potrebbe anche essere quella di usare
IPSec sulla rete, magari lasciando solo le comunicazioni "verso
internet" in chiaro, a questo punto un eventuale ospite non avrebbe
modo di contattare i sistemi di rete ma soltanto di accedere ad
internet

e non si vedono, o altri sistemi che permettano lo stesso controllo?
IPSEC. O, eventualmente, ci sono switch con 'MAC address control': se
attacchi un PC con un MAC non riconosciuto, si comportano come se non
ci fosse connettivita' sul cavo.
Entrambi i sistemi sono pubblicizzati come "semplicissimi" da usare e
privi di effetti collaterali indesiderati. Non e' vero :-)
(In alcuni casi per esempio l'implementazione 'standard' di IPSEC sta
in piedi solo finche' qualcuno non mette la chiavetta USB satanica in
uno dei PC collegati con shared key, puppandogli la medesima).
Leonardo
--
The stars have not dealt me the worst they could do:
My pleasures are plenty - my troubles are two.
But oh!, my two troubles, they reave me of rest:

Intanto grazie delle prime dritte, chiarisco qualche punto:
anche il blocco delle memorie usb mi interessa parecchio, per cui grazie 
Luca per avere citato anche quella soluzione, che mi studierò.
Per il resto anche la connessione Internet si vorrebbe evitare, attualmente 
questa rete di pc è disconnessa da Internet proprio perchè può essere un 
canale percorribile per i furti di informazioni e si è appreso proprio di 
altre aziende del settore in cui anche questo è avvenuto, per cui si voleva 
creare un sistema che impedisse qualsiasi connessione, quindi ricapitolando:
Niente internet (ma questo l'avremmo già risolto tenendo questa rete 
separata)
Niente uso di penne usb
Negare la possibilità di connettere altri pc
Per quest'ultimo punto preciso che ci sono alcune normali stazioni che hanno 
cartelle condivise, che comunque è una cosa inevitabile perchè chiunque può 
condividere una cartella su xp, quindi non posso affidarmi alle protezioni 
su server se poi basta condividere qualcosa su una postazione abilitata e 
poi fare accedere a questa un'altro pc, allora forse il blocco degli 
indirizzi Mac non riconosciuti fa al caso nostro.
Ovviamente resta sempre l'ipotesi remota di uno che si collega con un cavo 
cross direttamente ad una stazione su cui ha copiato prima il tutto, 
disconnettendola dal resto della rete... ma facciamo finta che non ci 
pensino...
Alla luce di questi chiarimenti, mi consigliereste una combinazione 
'ottimale' di queste soluzioni per riuscire a bloccare il tutto?
Accetto di buon grado anche soluzioni hardware costosette se si possono 
considerare efficaci e definitive.
Grazie mille, ciao.
RAY 

 'ottimale' di queste soluzioni per riuscire a bloccare il tutto?
Cosi' sui due piedi, direi 
http://tinyurl.com/2254ug
Ciao
Luca
-- 
Luca Sasdelli
Microsoft MVP - Server, Security

pensino...
Tutte le informazioni sensibili sono sul server e protette da password. In
piu' e' possibile predisporre un sistema di "honeytoken" capace di loggare
il traffico di dati riservati ed escludere forzosamente le stazioni che in
un certo periodo di tempo superano la quota.
Cosi' a pelle e' relativamente facile farlo con Samba + Snort, ma suppongo
esistano soluzioni anche su Windows.
Quindi un impiegato infedele deve conoscere la password, scaricare tutti i
dati non troppo velocemente [e se i dischi fissi dei client hanno tutti la
condivisione totale VERSO IL SERVER, si puo' pensare a una scansione] e li
deve fare uscire dal computer in qualche modo - CD [1], USB, email o disco
Bluetooth, dongle WiFi, fotografare il monitor... non e' semplice.
Leonardo
[1] I CD si masterizzano sulla apposita CD Burning Workstation, copiando i
    file nella cartella condivisa CDBURNER\\Utenti\\Utente, mandandone una
    richiesta via email a 
cdbu...@internal.net
 e ricevendo una notifica a
    CD pronto. Vai a prendere il tuo CD, e metti un CD vergine dentro allo
    slot, da persona educata, per il prossimo che avra' bisogno. E intanto
    il serverino s'e' fatto una copia-scansione-esame di cosa hai messo su
    quel CD... gli utenti possono masterizzare un massimo di un CD "non di
    lavoro" al giorno, indicandolo nella email. Il contenuto del CD non e'
    letto da esseri umani, ma sara' conservato, quindi se ci arriva mai la
    Finanza, chi ha messo quel disco di MP3 passa i guai suoi; pero', fino
    a quel giorno, chi se ne impipa.


nella rete.
Policy permettendo, eh.
Leonardo scordantesi


 ottenere un livello decente di protezione :D
Umm... mi avete messo di fronte a tante valide alternative, forse anche 
troppe per la mia esperienza...
Dimenticavo di dire che si tratta di una rete di 5 terminali, sono tutti win 
XP e per il momento non c'è un server, soltanto qualche cartella condivisa.
Visto che non abbiamo ancora implementato nessuna misura di sicurezza ci 
accontentiamo anche di iniziare da una parte, poi magari si vedrà...
Voi al posto mio che fareste per iniziare con qualcosa di facile da gestire? 
Un qualche router-firewall con filtraggio degli indirizzi MAC esiste?
Va bene anche l'aggiunta di un server, possibilmente Win per motivi di 
capacità nostra, intendo almeno per togliere le condivisioni dalle varie 
stazioni e gestirle meglio con diritti di accesso più controllati.
Grazie, ciao
RAY