Newsgroup: it.comp.sicurezza.varie
Titolo: Tomcat e sicurezza Linux

Ciao a tutti,
dunque, per motivi logistici che ignoro (e dei quali mi guardo bene dal
chiede spiegazioni), la mia ditta intende pubblicare su internet un
server linux (abbastanza mission-critcal direi) con apache e tomcat (e
probabilmente anche oracle).
Siccome sono il "fortunello" al quale tocca la patata bollente di
mettere tale server in sicurezza mi stavo chiedendo quali ulteriori
rischi comporta la presenza del suddetto in una politica della
sicurezza..
In altre parole, per quanto riguarda apache, iptables e menate varie ho
gią abbastanza chiaro come dovrņ operare, ma non avendo mai avuto il
"piacere" di conoscere tale server, prima di perdermi nei meandri della
rete volevo chiedere se qualcuno qui ha gią affrontato un problema del
genere..
Si accettano suggerimenti ed URL.. :O)
Grazie in anticipo!
-- 
By MCM.
-- 
Posted via Mailgate.ORG Server - 
http://www.Mailgate.ORG


Data la criticità e complessità della cosa non credo che ti  basterebbero
10000 posts di NG per spiegare tutto quanto serve effettuare.
Per cui o ti documenti su apache e tomcat e ti faccio i miei auguri per i
prossimi mesi (non parliamo poi di Oracle che mi vien da ridere, o peggio
dell'infrastruttura di Security comprese policies, management, vulnerability
assessment e prima ancora Risk Analysis visto che come dici tu è mission
critical), oppure ti armi di telefono e pazienza e "ingaggi" un consulente
(ma mi sa che te ne vorrà più di uno) per la Security.
Buon Lavoro. ;)
--
tcmast3r
portal administrator
http://www.tcproject.info
portale italiano sulla security e sul networking

 genere..
Tomcat (
http://jakarta.apache.org/tomcat/index.html
) è un application
server sviluppato in java (tranne, se non erro, il connector che è un
modulo di apache), quindi dovrebbe ragionevolmente essere esente da
buffer overflow (a meno che l'implementazione specifica della JVM non ne
soffra, ma questo è un altro film).
Personalmente, una volta curato l'aspetto sicurezza di Linux+Apache
sarei abbastanza tranquillo (nei limiti del possibile) per quanto
riguarda i sistemi. Un consiglio spassionato: "blindare" Oracle non è
facile (bisognerebbe conoscerlo molto bene) ma c'è un modo per
risolvere il problema alla radice, ossia, se si ritiene che i rischi 
arrivino solo dall'esterno, chiudi tutte le porte (tranne la 80)
e configuri le comunicazioni fra i vari apache, tomcat e oracle su
127.0.0.1 o su IP della rete locale.
Resterebbe così da affrontare quella che secondo me è la bestia più
feroce del serraglio: l'applicazione (sql injection, esecuzione di
script o comandi di sistema, ...), sopratutto se chi la deve sviluppare
non è sensibilie alla problematiche di sicurezza.
Buon divertimento ;-)

 Buon divertimento ;-)
Mi sa che ci sara' ben poco da divertirsi..
Grazie x il consiglio.


 Buon Lavoro. ;)
Ne avro' proprio bisogno.. :.(..
Grazie lostesso..


 777 *" (SBONK!)
Sapessi *quanto* ti capisco... :-(
-- 
Emanuele Balla aka Skull
-----------------------------------------------------------------------
Besides, I think [Slackware] sounds better than 'Microsoft', don't you?
(By Patrick Volkerding)


Questo lo sottoscrivo in pieno.
;)

 quella di poco prima di Natale per i Tomcat 4.x Server
...
E che dire delle vulnerabilita' di apache 1.3.22, php 4.1.1,
jakarta 1.2.0, mod_ssl 2.8.5, eccetera eccetera eccetera....
HappyCactus che ad ognuno il proprio lavoro
-- 
HappyCactus - Linux User #209744 - 
http://pngstego.sourceforge.net
 
              pngstego 0.3.2 has been released! 
/* Ci sono 10 categorie di persone al mondo: quelle che capiscono */
/* il sistema binario e quelle che non lo capiscono.              */

 facile (bisognerebbe conoscerlo molto bene) 
Bah, a me pare di una facilità estrema. Immagino che non sarà ne sulla 
macchina webserver ne (peggio ancora) sul firewall, in tal caso per farci 
arrivare un attacco bisogna praticamente mettersi d'impegno.