Newsgroup: it.comp.sicurezza.varie
Titolo: (Forse OT) pro e contro del responsabile EDP

Salve scusate l'intrusione ma avrei alcune domande da porre spero che non
siano OffTopic
mi hanno eletto responsabile EDP
ma non so a quali grane vado incontro
potete illuminarmi?
grazie mille

scusa ma non l'ho capita

 scusa ma non l'ho capita
Intendeva dire: E tu hai accettato?
HappyCactus che mi hanno eletto pilota del lear jet del capo, mo' che
faccio?
-- 
HappyCactus - Linux User #209744 - LFS User #6046 - >>> SMSPM1050 <<<
              YAGF Member Group >>> 
www.google.com
 <<<
Ci sono 10 categorie di persone al mondo: quelle che capiscono
il sistema binario e quelle che non lo capiscono.

in pratica non è che mi abbiano fatto firmare niente
però in busta paga scrivono che il mio centro di costo è il centro
elaborazioni dati (CED)
il problema è che qua c' è una gran confuzione di licenze valide e non, per
l'azienda l'informatica è all'ultimo posto in un possibile controllo la mia
posizione potrebbe essere presa in colpa?

 controllo la mia posizione potrebbe essere presa in colpa?
Non e' solo una questione di licenze, purtroppo.
Se sei l'unico responsabile del sistema informatico, ad esempio, hai
anche degli obblighi nei confronti della cd. legge sulla privacy
(675/96). 
Piu' tutto quel che riguarda le responsabilita' che il tuo datore di
lavoro potrebbe addossarti relativamente la sicurezza dei dati e dei
sistemi informativi.... se non hai firmato nulla, tanto meglio. 


non ci sono dati sensibili nella mia azienda
avevo fatto lo studio con l'amministratore e il controllo accessi con nome
utente e password era sufficiente a soddisfare la legge 675
ma per le licenze se non ho firmato nulla sono comunque imputabile di reato?
puoi consigliarmi siti che ne parlano in proposito

 reato? 
Le licenze sono un altro discorso. Per quello devi controllare sulle
licenze stesse.


 Mi pare che si stia un pelino sottovalutando il problema o sbaglio
la mia azienda non possiede dati sensibili ma solo dati per il normale
svolgimento dell'attività commerciale, la sicurezza per questo tipo di dati
è assolta da un controllo accessi, inoltre il server nel quale risiedono è
esente da possibili attacchi virus (AS400) e il contratto con il provider
prevede il controllo antivirus della posta sia in entrata che in uscita con
assicurazione sui eventuali attacchi e perdita dati
credo sia sufficiente


 non ci sono dati sensibili nella mia azienda
cominciamo bene... :)

 segnala? :-ppp
uhh ... che ho fatto ?

io non ho indirizzi o quant'altro posso indicare una persona fisica
ma solo ragioni sociali di aziende
non tenendo le buste paga dei dipendenti la 675 è assolta così semplicemente
mentre il nostro commercialista si è fatto un mazzo tanto per assolverla
io l'ho capita così

Grazie marcolfa hai risposto con un tecnicismo che non ha euguali sei
avvocato?
grazie di avermi illuminato

 perdita dati credo sia sufficiente
Scusa, non ho capito bene la situazione: sei il titolare dell'azienda o
un dipendente?
Nel secondo caso, vigono al di la' di tutte le questioni tecniche
(firewall, AV, (n)IDS, controllo accessi, eccetera) le questioni
pratiche fatte dal dipendente accorto che non accetta responsabilita' e
compiti cui non e' obiettivamente in grado di affrontare.
Nel primo caso, e' opportuno considerare oltre alle sanzioni penali e
civili del titolare di una azienda che non risponda alle normative sui
requisiti minimi di sicurezza, anche alle considerazioni economiche
relative ad una possibile "fuga" di dati (disastro, furto, eccetera).
Da un punto di vista tecnico, una rete cosi' come l'hai descritta tu e'
piuttosto debole; le stazioni che accedono al server as400, ad esempio,
possono essere controllate e attaccate e da li' risalire al server... ma
la normativa non prevede cio', almeno, non espressamente (il controllo
di accesso si fa ai dati, ma la normativa non prevede di proteggere
altri metodi di accesso - keylogger, sniffer).


 possono essere controllate e attaccate e da li' risalire al server...
bisogna conoscere nome utente e password assolutamente l'AS400 è blindato
un attacco può avvenire all'interno della mia rete (perché esiste firewall e
NAT)
e solo dal personale al quale è stato affidato nome utente e password quindi
responsabile dell'accesso ai dati
i pc degli utenti non possiedono dati personali o sensibili quindi non ho
l'obbligo di porvi sicurezze adeguate

 ho l'obbligo di porvi sicurezze adeguate
Ok, sei in regola.
Ma evilhacker installa un keylogger sulla workstation del dipendente x,
come la mettiamo?


sono fottuto
ma il problema è limitato all'autorizzazioni di quell'utente a meno che non
becca l'amministratore
ma con il firewall come fa oltretutto c'é il NAT e sono in ADSL con TELECOM

esente da possibili attacchi virus (AS400)
Be', se il server ha ancora le password QSECOFR e QPGMR o altre cosucce
tìpie (visto che in genere "Ma se l'AS e' a valle del fairuòll"), sara'
il caso di iniziare a sperare che non passi un cracker curioso.
Leonardo
-- 
"Se e' vero che Linux in se' e' gratis, non lo sono le indispensabili
interfacce grafiche (X, KDE ecc.) che consentono alle persone normali
di utilizzarlo."                    -- Jason Matusow, Microsoft Corp.

 TELECOM
Un trojan horse? l'exploit di una pagina web? exploit del firewall? del
router? 


 il caso di iniziare a sperare che non passi un cracker curioso.
per valle indichi prima del firewall?

 segnala? :-ppp
NO! (se č una domanda seria)
NO! (se volevi dire qualcos'altro)
-- 
Bye by V.

 non tenendo le buste paga dei dipendenti la 675 è assolta così semplicemente
Non avete neppure la contabilità interna?
Perchè in tal caso ci possono essere i dati dei pagamenti
delle buste paga, i numeri di conto corrente, gira rigira
sta' certo che qualche dato non proprio pubblico si trova
di sicuro.
-- 
Bye by V.
http://www.virusbusters.cjb.net

 di sicuro.
che sappia io i dipendenti vengono gestiti tutti dal commercialista al quale
vengono inviate le ore poi tramite caribanking si fanno i bonifici a
dipendenti proprio all'interno di questo ci sono i conti correnti ma è al di
fuori del sever e su sito protetto Https per il quale abbiamo pure la firma
digitale

 ma solo ragioni sociali di aziende
Guarda, questo è un argomento probabilmente sopravvalutato nella 
discussione (perchè alla fine non sarà il problema più grosso), ma quello 
che dici non è giusto.
Tu hai la password di admin, o di root, puoi accedere alle caselle postali 
degli utenti facendo una semplice cat. Tu puoi vedere i logs del proxy o 
del firewall e sapere che il ragionier Rossi ha un debole per il sadomaso. 
Tu hai accesso ai pc degli utenti per la manutenzione, gli antivirus, 
compresi i fogli di excel con cui il tuo capo confronta le entrate normali 
con quelle a nero. E se vogliamo continuare c'è da divertirsi.


wrote:


Se per "prima" intendi la zona protetta dal firewall, si'.
Ma in quella zona, con vari trucchi social engineering e non solo, e'
possibile fare giungere un buca-firewall che tranquillon tranquilloni
consente a qualsiasi mr. X di essere virtualmente ai comandi di un PC
situato *DENTRO* la zona protetta.
Da li', una volta visto che c'e' un AS/400 (perche' trova i files del
Client Access, di HiT!400, o di chissa' che cosa - oppure sniffa e si
vede una kilata di traffico sulla porta 23, o su quell'altra usata da
IBM per fare gatewaying), puo' divertirsi - da un STPTCPSVR(*ALL) [1]
a delle DELETE/UPDATE a capriccio sui database [2].
Leonardo
[1] non garantisco di ricordare correttamente
[2] e come QPGMR, da interfaccia SQL via tunnel, puo' farlo
-- 
Questo messaggio e' NAGWARE. Per disattivare frecciatine, giochi
di parole, volgarita' gratuite ed inviti a rileggersi i messaggi
gia' passati e/o consultare 
http://groups.google.com
, effettuare
un versamento di 25 euro come tariffa di registrazione helpdesk.


wrote:

...situata dove? All'interno della rete, o su un dischetto a parte?
Anzi, proprio li' c'e' un problema tosto: in un caso del genere trovando
i file di CariBanking, potrei avere l'idea di fare partire una splendida
transazione via tunnel originata *DAL PC DELL'AMMINISTRATORE*, stornando
un po' di fondi a mio vantaggio... o magari donandoli al WWF.
Poi, saranno cazzi acidissimi dimostrare che non siete stati davvero voi
a ordinare un array RAID 5 nòvo di pacca presso $FIRM ("Ha telefonato il
vostro amministratore dicendo che avrebbe mandato un pony a ritirarlo il
giorno dopo, e' venuto questo ragazzo col motorino e mi ha firmato bolla
e tutto e mi ha lasciato i dati per la fattura...") - soprattutto quando
la banca vedra' che la transazione veniva dal PC dell'amministratore, ed
aveva la firma dell'amministratore.
E coprendo bene le tracce, anzi, l'amministratore si convincera' che li'
dentro c'e' un Barabba che gli ha bubbato il dischetto con la firma... e
parlargli di "acher con esperienza acuisita" tutt'al piu' gli suoneranno
come patetiche scuse per pararsi il darre', e anzi probabile indizio per
una siùra 'ncriminazione.
Leonardo


Allarmi siamo stati attaccati corriamo ai ripari
grazie

Ok mi avete convinto
me la sono fatta addosso da quanto mi avete spaventato
ho avuto il Nimda già quello mi ha rotto i c........ni forte
si era trasferito sull'AS400 ma non avendo trovato fertile
si trasferiva a tutti i pc che leggevano quel file
morale due macchine formattate e richiesta a telecon di opzione antivirus su
email

 quale vengono inviate le ore 
Ok, nomi e cognomi e numero di matricola dei dipendenti quindi li avete.


su cartaceo si non so se sul database dell' AS400 c'é qualcosa
ok mi avete sconfitto

grazie per tutto

Dallo spavento mi sono informato non ho firewall
e un brivido freddo mi è corso lunga la schiena ero convito di si ho solo
NAT per il mascheramento degli indirizzi ip della mia lan
ai mi sa che vengo bocciato
ciao

 [1] non garantisco di ricordare correttamente
Be', dipende da che cosa vuoi fare: STRTCPSVR(*ALL) o ENDTCPSVR(*ALL)
                                  ^
ma con la seconda, se sei collegato via telnet ti freghi con le tue 
stesse mani :-)
Fabio

stesse mani :-)
Ah, intendevo ENDTCPSVR (non ho pensato che probabilmente non avrebbero
usato il codice fiscale per SToP TCP SerVeR, perche' troppo simile alla
versione di STaRt TCP SerVer: abituato a fare start e stop...)
Cmq, certo che mi frego con le mie stesse mani: era giusto per ruzzare.
