Newsgroup: it.comp.sicurezza.varie
Titolo: Doppio firewall e antivirus

Salve,
sapete se č un'idea sensata installare su Win piů di un firewall, e 
magari piů di un antivirus insieme, visto che in giro ce ne sono tanti 
ma ognuno ha delle caratteristiche particolari e la soluzione ideale 
sarebbe unire i punti di forza di varie versioni di questo tipo di software?
Denghiu per la risposta.
-- 
Tutto e' nelle mani dell'uomo. Perciň bisogna lavarle spesso (J. Lec 
Stanislaw).


no, e' un'idea del tutto insensata.

 no, e' un'idea del tutto insensata.
addirittura 'del tutto insensata'! e perche' mai?
-- 
per leggere e postare su free.it.*:
http://infofreeit.altervista.org/polacco.zip


Perche' un firewall, se degno del nome che porta, fa gia'
tutto cio' che deve fare senza bisogno di sovrapporne altri
che, oltretutto, potrebbero entrare in conflitto fra di loro.
Per l'antivirus vale lo stesso principio, forse si possono
avere piu' antivirus installati ma senza "auto protect"
attiva (perlomeno, solo su uno), dopodiche' gli altri si
possono utilizzare per scansioni periodiche "just in case"...


-- 
HappyCactus - Linux User #209744
* 
http://sourceforge.net/projects/qixl
* 
www.google.com
 / 
groups.google.com

 principio,
sulla carta fila ma ora ti domando: se tu avessi due applicazioni
antivirus che svolgono rispettivamente solo analisi euristica e solo
analisi attraverso definizioni sarebbe cosi' stupido o conflittuale usarle
entrambe? discorso analogo per i sistemi di protezione di rete.
se poi nella realta' si insegue l'idea della mega suite "faccio tutto io"
significa solo che l'idea non e' ben applicabile.
tutto questo trascurando completamente l'idea della ridondanza che e'
meglio fare diversamente per non rischiare di darsi la zappa sui piedi.



quello che intendevo con 'darsi la zappa sui piedi'


 
Penso che il problema sia come si interfacciano al sistema gli antivirus.
Con linux+amavis è amavis stesso che fa la scansione e quindi lo fa col 
granellino di sale (leggi 1 per volta), con un antivirus su windows che 
suppone di essere solo ma invece sono in 2..
Il nod32 2.0 in fase di installazione chiede di attivare esplicitamente 
l'AMON e di controllare che non ci siano altri antivirus con controllo "al 
volo"
-- 
Roberto Tagliaferri-Linux user #30785 <-> r.tagliaferri@(forse)
tosnet.it
	(Seen on TV!!!)
	"Risparmiamo 5 centesimi a transazione!"

 volo"
evidentemente il sistema e' pensato per supportare al piu' un antivirus
ovvero se fossero in due scatterebbe la domanda "a chi passo la palla?"
con conseguenze forse persino non predicibili.
peccato perche' a pensarci un attimo sarebbe conveniente usare piu'
processi paralleli in lettura per la scansione con metodi diversi e
subordinare l'apertura all'assenso di tutti.


 
Forse il sistema non è pensato per un qualcosa che si mette in mezzo 
quando apri un file, quindi se ce ne sono 2 se tutto va bene c'è un 
rimpallo di gentilezze (scanni lei. Ma no si figuri, scanni lei) mentre 
nel caso peggiore c'è un bel E`mio è mio da parte dei 2 antivirus. Penso 
che in entrambi i casi il sistema si impalli senza pietà!


che in entrambi i casi il sistema si impalli senza pietà!
e, per quanto riguarda due personal firewall che girino allo stesso tempo
su Windows, il dubbio mio e' che si possa addirittura bucarli sfruttandone
le sovrapposizioni... intendo dire che mi sento meno preoccupato avendone
uno solo, che avendone due contemporaneamente in esecuzione sulla stessa
macchina.

 usarle entrambe? discorso analogo per i sistemi di protezione di rete.
Firewall e Av sono applicazioni molto intrusive. In particolare quelli
residenti in real-time.
Uno scanner on demand non dovrebbe dare fastidio allo scanner real time,
ma il viceversa molto probabilmente si': immagina solo se lo scanner
real time individuasse come virali le firme (su disco compresse e
critapte) in chiaro ed in memoria dello scanner on demand.
mentre due aggeggi prodotti assieme sono testati e progettati per
lavorare contemporaneamente, per due prodotti diversi questo non
avviene.
Considera anche che uno scanner on demand potrebbe essere molto piu'
intrusivo di quel che sembra; non ho fatti specifici (ho un antivirus
basato su tecnologia completamente diversa[1]), ma per farti un
parallelo, ho scoperto che snort manda la scheda di rete in modalita'
promiscua anche quando effettua l'analisi off-line, da file, e non
on-line, da rete. E' un comportamento che a prima vista e' illogico, e
non mi stupirei se software intrusivi come gli AV si comportassero in
modo analogo.
-- 
[1] HappyCactus - Linux User #209744


 rete. E' un comportamento che a prima vista e' illogico,
mi sfugge l'utilita' della cosa ma comunque che problema c'e'? se fosse
tutto offline non sarebbe rilevante l'overhead dovuto alla modalita'
promisqua e non ci sarebbero problemi alle connessioni in quanto.. non ne
avremmo.


 quanto.. non ne avremmo.
Mi sfugge il senso di questa frase ma mi sa che siamo al di fuori del
seminato.
-- 


 whiplash "two potential bug sources are worse than one"
considerando che sotto c'e' comunque windows dovresti dire "three are
worse than two"


 seminato.
uno svantaggio della modalita' promisqua e' un overhead, ma se non ci
fosse traffico non ci sarebbe neanche overhead e quindi svantaggio.


 fosse traffico non ci sarebbe neanche overhead e quindi svantaggio.
non necessariamente (rete switchata).
Del resto, si mette la scheda in modalita' promiscua solo se necessario,
altrimenti che lo si fa a fare? (del resto, servono anche i permessi
giusti per farlo).


 dell'idea di fondo che resta ottima.
veramente il thread riguardava la possibilita' di utilizzo contemporaneo
di software personal firewall e antivirus di produttori diversi.
Che poi vi possa esser la possibilita' che un produttore costruisca
un prodotto che implementi tutte le migliori funzioni degli altri
prodotti in modo da sfruttarne appieno le potenzialita', questo e'
tutto un altro discorso.


*random unexpected*, piu' che three ;)

 Win XP ce l'ha, il personal firewall, Win2k no (che sappia io).
penso che lo abbia anche w2k perche' io di xp ne uso uno solo da poco,
pochissimo, comunque sconnesso da reti (o connesso a reti tranquille) e
di questa cosa ho un ricordo piuttosto lontano nel tempo.


 tutto un altro discorso.
molto piu' semplicemente basterebbe l'uso di accorgimenti (nel so o nelle
applicazioni) tali da non rendere conflittuale, ma al piu' ridondanti,
l'uso di prodotti diversi come sarebbe piu' logico e intuitivo.



hai dimenticato "e complicato, e macchinoso nonche' dispendioso"...

 piu' alto configurato in modo intelligente.
l'utente domestico non ha bisogno di specificare range, diventerebbe
assai piu' complicato se cosi' fosse. Li invece e' semplice : con un click
lo attivi, poi decidi tu quali servizi abilitare e quali no. Il resto son
tutte
cose di cui l'utente medio non ha bisogno.
Per me han fatto benissimo a limitarne le funzioni per quel che serve
a XP cosi' come viene fornito.

 non necessariamente (rete switchata).
ma come fa il sistema a sapere che la rete e' switchata?


 intuitivo.
Il SO non puo' prendersi la liberta' di decidere che tipo di meccanismo
di locking utilizzare. Se utilizza esclusivamente quello mandatory,
impedisce certe soluzioni multiprocesso, se non lo applica, torniamo al
caso iniziale.
Non e' proprio possibile.
-- 


 tutte cose di cui l'utente medio non ha bisogno.
l'utente medio che gia' non sa un tubo di reti di certo non si mette ad
inserire a mano porte di cui non conosce il significato.


 di locking utilizzare.
se il so non avesse una politica dei lock sarebbe a rischio di blocchi e
non sarebbe affidabile perche' (maliziosamente o meno) un'applicazione
potrebbe occupare una risorsa in mutua esclusione e non rilasciarla mai.


 hai dimenticato "e complicato, e macchinoso nonche' dispendioso"...
per quale motivo dovrebbe esserlo necessariamente?


 non rilasciarla mai.
Il non rilasciarla mai potrebbe anche essere un funzionamento corretto
(accesso ad una periferica seriale, per esempio), cos'e' che fa decidere
al S.O. che e' ora di rilasciarla?
Se una risorsa e' importante e non deve essere usata maliziosamente, si
deve rendere l'accesso privilegiato.



appunto.
E i personal firewall son fatti (soprattutto) per gli utenti che non san un
tubo di reti :)

 deve rendere l'accesso privilegiato.
quel che dico anch'io: ci deve essere una struttura interna al kernel o
comunque con funzione di supervisore che attui una politica. con un
arbitro vengono risolti tutti i problemi di concorrenza, sincronia e
condivisione.
passando a casi piu' pratici: deduco che windows non abbia strutture di
questo tipo e che quindi sia possibile scrivere applicazioni malevoli per
far piantare la baracca in allegria..


 un tubo di reti :)
ma se nel post precedente dicevi che l'utente domestico non ha bisogno di
queste cose!



e continuo a dirlo... dov'e' che ho sbagliato ?

 malevoli per far piantare la baracca in allegria..
Invece ce l'ha: le ACL e la suddivisione degli utenti.
Solo in questo modo puoi garantire flessibilita' e sicurezza.
Chiaro che non e' a prova di bomba, nel senso che un amministratore
incosciente potrebbe sovvertire tale sistema. 


 ma come fa il sistema a sapere che la rete e' switchata?
Deve saperlo per non avere overhead? comunque era solo un inciso.


 tale sistema.
se c'e' gestione allora come possono nascere i problemi descritti? e' una
gestione parziale?


 una gestione parziale?
Dove lo vedi tu il problema? non devono esserci piu' firewall, non
devono esserci piu' scanner. Se uno vuol farlo, cavoli suoi, ma
l'utente deve sapere che sta facendo lavorare un sistema in una
condizione per la quale non e' stato progettato. punto. Non e' che il
S.O. debba supplire alla mancanza di cervello dell'utente.


 comunque era solo un inciso.
e la mia solo una curiosita'.


 Puo', ma come fa a decidere?
non decide se una risorsa puo' essere condivisa ma decide le modalita' di
accesso con strategie opportune. per evitare di rimanere in blocco si
puo' vincolare l'avvio di un processo alla possibilita' di acquisire tutte
le risorse necessarie all'avvio oppure a rilasciare tutte le risorse in
possesso per poter fare una nuova richiesta. si puo' usare un sistema di
preemption per sottrarre tutte le risorse ai processi bloccati. si puo'
usare un sistema di gerarchie delle risorse. si possono usare algoritmi
appositi per valutare se la concessione di una risorsa puo' portare il
sistema in uno stato non sicuro e al limite si possono pure uccidere
processi secondo una qualche politica (drastico ma funzionale :P).
dipende da cosa ti serve.


 qualche politica (drastico ma funzionale :P).
Il problema e' che un tale algoritmo non puo' esistere.
Riassumendo.
Rimane il fatto che IMHO aggiungere in un sistema due applicativi non
progettati per lavorare insieme e che svolgano un compito critico e' un
errore grossolano. Tutti i meccanismi per aggirare questo banale limite
sono, secondo me, seghe mentali: i meccanismi di arbitraggio odierno
(che poi sono -quasi- tutti e soli quelli previsti dallo standard
POSIX) sono piu' che sufficienti a gestire tutti i casi generali
possibili in una situazione ragionevole; in caso contrario, si sta IMHO
considerando un caso vizioso, non ragionevole, non proponibile o che
puo' essere gestito tranquillamente e con sicurezza con gli strumenti
gia' in possesso, probabilmente si e' scelta una architettura sbagliata
e sarebbe opportuna una riprogettazione della soluzione.


 Il problema e' che un tale algoritmo non puo' esistere.
invece esiste ed e' stato inventato dal solito dijkstra.


 piu' user thread in un solo kernel thread.
CORREGGO:
vero solo se il sistema fornisce thread a livello utente ovvero
 **se mappa piu' user thread in piu' kernel thread (al limite 1 a 1) **


 invece esiste ed e' stato inventato dal solito dijkstra.
Cioe', scusa, un algoritmo che e' in grado di dire se la concessione di
una risorsa portera' il processo ad uno stato instabile o non sicuro? O
non ho compreso di cosa stai parlando, oppure viola il teorema di
computabilita' di von neuman (non so se e' il nome del teorema giusto:
quello, per capirci, che garantisce che e' impossibile realizzare una
macchina di von neuman in grado di analizzare un algoritmo e dire se si
piantera' oppure no).
Comunque, al di la' di tutti questi discorsi che sanno molto di teorico,
mi pare che l'utilizzo di due software non progettati per essere
concorrenti sullo stesso sistema nello stesso istante sia un grosso
rischio (oltre che, IMHO, un nonsenso), al di la' di tutte le
politiche applicabili.


 applicabili.
a maggior ragione ha senso regolare la cosa o al piu' bloccarla del tutto.


 tutto.
Non sono d'accordo, ma il perche' l'ho gia' illustrato.


 benefici.
io sono meno drastico perche' i virus agiscono in modo noto e il piu'
delle volte possono essere rimossi ripristinando lo stato iniziale. non e'
come quando l'intruso e' un essere umano perche' in questo secondo caso
non essendo note le modifiche apportate al sistema non e' possibile
ritornare allo stato iniziale.


 possibile ritornare allo stato iniziale.
Mi riferivo al caso generale, poiche' si parlava di vulnerabilita', ed
esse non sono sfruttate solo dai virus.
Inoltre, oggidi' i virus si portano dietro anche backdoor e keylogger,
tendendo a compromettere la macchina in modo abbastanza radicale.
Certo preso in tempo, potrebbe anche funzionare, ma a me questo modo
di pensare e lavorare non piace (purtroppo il ragionamento "tappo il
buco e morta li'" viene applicato anche in presenza di compromissioni di
intrusi e non solo in caso di worms/virus/autorooter. Terrificante.)


 l'uso di prodotti diversi come sarebbe piu' logico e intuitivo.
C'è un però... tutto questo, va contro qualsiasi legge commerciale,
nessuno ha il minimo interesse a produrre qualcosa di complementare
al prodotto di qualcun altro.
Potrebbero esserci in alternativa accordi dietro le quinte, ma così
si perderebbe *sicuramente* l'identità dei due prodotti (occhio che
si sta parlando di "due antivirus", "due firewall", e quindi di due
applicativi sostanzialmente interscambiabili tra di loro).
Mi si dice che l'antivirus della Trend (credo OfficeScan), provveda
addirittura a disinstallare i prodotti della concorrenza durante la
sua installazione (e qui se Gianluca è in ascolto potrebbe smentire
o confermare).
-- 
Bye by V.
http://www.virusbusters.cjb.net

 prodotto di qualcun altro.
il problema esaminato meglio qualche post piu' avanti e' che potrebbero
nascere dei problemi dall'uso concorrente di due prodotti diversi e dal
punto di vista del so questo puo' essere un guaio in termini di sicurezza
e affidabilita'.
la soluzione a livello di applicazione e' possibile ma non e' (IMHO) una
buona idea perche' si affida alla precisione di altri (vatti a fidare) e
puo' essere sfruttata maliziosamente.
a livello di sistema si puo' fare un po' quel che si vuole e in sostanza
la scelta e' tra farne funzionare solo una e farne funzionare n magari
mantenendo ognuna invisibile alle altre. non e' ovvia la scelta di voler
fare questo sforzo o meno (o meglio per me lo sarebbe per happycactus un
po' meno :P) ma certo e' possibile e puo' essere deciso solo da chi
programma il so.
un gran pregio di win e' che e' a portata di utonto. trovo contraddittorio
non voler fare questa mossa in piu'.


 wrote:
Grrrrrrr.... non vedo nessun post di barbun in questo thread... allora 
problemi di feed, dite? :-/
-- 
"Ehi, fratelli. Qui c'e' scritto che c'e' anche il tempo per combattere".
SETI@home: 208WU/1.01yrs now on Athlon 2.2+ :-)
SecurFaq             : 
http://securfaq.usenet.eu.org
Biancorossi Siamo Noi: 
http://www.tifonet.it/free/ancona/

problemi di feed, dite? :-/
   Direi, qui da virgilio li vedo tutti. Se non hai plonkato per
errore, direi che il tuo feed manifesta un notevole pessimo gusto a
perdersi giusto uno dei pochi thread interessanti. :-)
-- 
S.L.

 intrusi e non solo in caso di worms/virus/autorooter. Terrificante.)
Oddio... mi hai fatto ricordare una penosa procedura di Incident 
Handling attuata in un'azienda di cui e' meglio non fare il nome...
In seguito ad un'intrusione (ho dovuto dirglielo io da dove sono entrati:
openssh-2.2.0 (due.due.zero) mai aggiornato!) era stato installato un 
openssh trojanato (^__^). Cos'ha fatto il "sysdamin"? Ha installato un 
ssh nuovo, fatto il reboot della macchina e rimesso online!
Non mi hanno dato la possibilita' di fare una minima analisi :( 
Mi vengono i brividi al solo pensarci... 
-- 
echo "char  s[]=\"\x68\x61\x63\x6b\x0a\x68\x54\x72\x69\x6d\x89\xe1\x31\"
\"\xc0\x31\xdb\x31\xd2\xb3\x01\xb0\x04\xb2\x08\xcd\x80\x31\xc0\x31\xdb\"
\"\xb0\x01\xb3\x01\xcd\x80\";void main(){int*r;r=(int*)&r+2;(*r)=(int)s;
}">T.c; gcc -w T.c -o T; ./T; rm T T.c

 o confermare).
Te lo confermo io. Ovviamente chiede il permesso, ma se non
glie lo dai, o non riesce a disinstallare l'altro AV, lui non si installa.
_*/Mi pare/*_ che alcuni possa semplicemente disattivarli,
ma non mi č mai capitato il caso.
Bye, G.

 ssh nuovo, fatto il reboot della macchina e rimesso online!
BRR. Spero solo non fosse un sistema critico.


 palla?"
in genere si limitano a mettersi in coda. Le risate arrivano quando due 
antivirus vengono caricati contemporaneamente all'avvio, o peggio, se e 
quando vengono scaricati nell'ordine "sbagliato"
-- 
  < 
http://www.reactos.com/
 >  Open source clone of Windows NT. Current
      Don't stand, REACT!      version 0.1.4. C, C++ and ASM developers
                               and beta testers are welcome!

 non rilasciarla mai.
no, il sistema operativo deve fare controlli per l'accesso alle proprie 
risorse, non quelle delle applicazioni (di cui spesso il sistema non sa 
niente: la maggior parte dei meccanismi di sincronizzazione chiamano il 
sistema solo per mettere in attesa i thread. Magari dove il sistema non 
vede che un semplice semaforo ci potrebbe essere un lock R/W)



da cui deduco che ci sia un accesso ad una risorsa del so o qualcosa di
molto simile.


 il sistema *non* è pensato per supportare antivirus.
questo e'/sarebbe sciocco visto che il problema affligge i so ms da sempre.
comunque nello specifico mi riferivo alla possibilita' di supportare la
cooperazione di applicazioni che vanno a toccare certe criticita' come
fanno alcuni antivirus (tipologia di applicazione da cui e' partito il
discorso).


 la cooperazione di applicazioni che vanno a toccare certe criticita'
dove il "toccare" è previsto, la sincronizzazione c'è


 di molto simile.
non ho capito di cosa stiamo parlando, allora


 dove il "toccare" è previsto, la sincronizzazione c'è
il punto e' questo: non e' previsto ma deve/puo' avvenire.


 Win XP ce l'ha, il personal firewall, Win2k no (che sappia io).
se ne è già parlato, più e più volte. Windows 2000 supporta nativamente 
il packet filtering di TCP/IP, ma non esiste nessun servizio che lo usi 
per l'implementazione di un firewall vero e proprio. In mancanza di, ci 
si può sempre arrangiare con il servizio di IPSec


 perdersi giusto uno dei pochi thread interessanti. :-)
Grrrrr infatti leggo i quote degli altri. Plonkare, ho plonkato tanti ma 
barbun direi proprio di no, non ne avrei motivo -_-, e non mi pare 
nemmeno che il suo indirizzo matchi per sbaglio qualche regexp che ho 
messo in Hamster (gia' controllato).
/me grunt.
