Newsgroup: it.comp.sicurezza.varie
Titolo: Re: http://www.zone-h.org/

 Rotfl.
....cioè? ... :-D
-- 
Il segreto dell'eterna giovinezza è la morte prematura perchè soltanto chi
non invecchierà mai resterà per sempre giovane


ma nulla di particolare : un sito sulla sicurezza che ti mostra l'ip privato
del Db server.
Robetta :-)

 del Db server.
Si', e allora? Che te ne fai?
Source routing?
Martian addressing?
Bloody Mary? :-)
-- 
           |Save our planet!
    Ciao   |Save wildlife!
   roberto |For your E-MAIL use ONLY recycled Bytes  !!
           |roberto poggi   
rpo...@softhome.net


bastian host ?
Ip sbuffing ?
:)


( non e' detto che sia l'ip privato del Db server, quello) .

 Ip sbuffing ?
DeNuclearaized Zone?
Distributed Denial Of Sex?
Port Smashing?

 ( non e' detto che sia l'ip privato del Db server, quello) .
Mmmmh interessante, sentiamo (spunto per una discussione creativa) :P


Ok ok, adesso che me ne son tracannato un paio di pinte di quello buono,
posso anche spararla:
DUNQUE:
mettiamo il caso che quello non sia l'IP privato del Db server ma invece
l'IP privato di una DMZ protetta da un firewall interno che ha appunto
quell' IP privato, e sul quale vi sia un filtro per pubblicare sulla DMZ il
vero Db server, che ha IP privato chesso' tipo 172.16.0.1 e sta sulla DMZ
interna...
ed ora, giu' con le mazzčte, forza su, avanti venghinooo siori e sioreee! :P

 l'IP privato di una DMZ protetta da un firewall interno che ha appunto
ehm... "protetta da un firewall interno" in effetti non vuol dire un'emerita
cippa... si senton gli effetti dell'alcool, eh ! Ok ok, correggo:
'10.0.0.201' e' l' IP privato della scheda di rete del firewall interno che
da sulla DMZ, su cui ci sara' mettiam caso '10.0.0.200' da cui parton le
query a '10.0.0.201' che pero' a sua volta "pubblica" il vero Db server
172.16.0.1 , che sta in DMZ interna.
(ora pero' basta senno' mi gira troppo la testa... hic e notte a todos !
allegriaaa!)

 ha scritto nel
messaggio news:2hkfg9F...@uni-berlin.de...


Tutto questo casino per spiegare 1 ambiente di produzione ?
I sistemi migliori sono quelli costruiti su una architettura  semplice è flessibile , mantenendoci sempre la sicurezza come base !!



c'e' Internet
c'e' un router che ti permette di andar su internet
c'e' un firewall dietro al router
c'e' un server web dietro al firewall, visibile da Internet.
c'e' un altro firewall a cui il server web indirizza le query, che vengono
fatte passare dal firewall verso il db server.
Quindi, in caso il db server sia giu', e' possibile che il messaggio in
questione possa riportare non l' Ip del db server, bensi' quello del secondo
firewall.
Se non va bene questo, mi sa che ci vuole il disegnino :)

Scusa "Danny",
Mi č solo un problema di ordine.
Non capisco la direzione di tutto questo.
Probabilmente č disabitudine mia, ai termini che utilizzi tu. Non ti
offendere ...:
Numeriamo le cose:
0=Internet
1=Router
2=Firewall
3=Server Web
4=Firewall 2
5=Rete Interna
E' messa cosě ?
Eduardo Freni

 Numeriamo le cose:
Non mi offendo, e' che non capisco che utilita' possa dare il numerare le
cose.
A questo punto, per chiarire le idee, o si fa un disegno schematico, oppure
si puo' dire che:
a) Esiste un router attraverso il quale ci si collega ad Internet.
b) Esiste una zona denominata DMZ Esterna, che contiene i server i cui
servizi vengono pubblicati su Internet.
c) Esiste un secondo firewall che separa la DMZ Esterna dalla LAN e che,
all'occorrenza, puo' regolamentare gli accessi dei client della LAN ai
server interni, che possono essere cosi' messi all'interno di una seconda
DMZ,  detta DMZ Interna.
Nell' esempio specifico, il db server sarebbe piazzato nella DMZ Interna,
mentre il server web starebbe nella DMZ Esterna.
Quando il server web esegue una query diretta al db server, detta query
passa dal firewall secondario le cui politiche sono regolamentate in modo da
far passare dette query verso il db server.
Ed e' per questo che e' possibile che, in un eventuale messaggio di errore,
l' IP che esce fuori possa esser quello del firewall secondario, anziche'
quello del db server.
E' piu' chiaro messo cosi' ?

E' messa così ?
Si', e in aggiunta, il firewall 2 fa tunnel dall'IP 201 verso una macchina
della rete interna dove c'e' il server database (v. post di Danny)
Vista la storia di 'certi' server database, mi sentirei piu' tranquillo se
il firewall 2 avesse un NIDS bello pompato, con capacita' di troncare come
nulla la connessione, appena qualcosa non gli torna. E' vero che il server
Web un po' di sanitization la fa, ma e' in DMZ per un motivo...
(E si potrebbe anche parlare di Honeytokens...)
Leonardo
-- 
"Se e' vero che Linux in se' e' gratis, non lo sono le indispensabili
interfacce grafiche (X, KDE ecc.) che consentono alle persone normali
di utilizzarlo."                    -- Jason Matusow, Microsoft Corp.


Un software "customizzabile" in maniera tale da poterlo programmare per
lasciar passare solo e soltanto quelle istruzioni necessarie al
funzionamento della procedura che serve.
Che analizzi il traffico attraverso quella porta e che, oltre a bloccare
tutto cio' che gli pare "strano", mandi magari una notifica all' admin...
che roba c'e' in giro, attualmente, che svolga compiti del genere... ?

che roba c'e' in giro, attualmente, che svolga compiti del genere... ?
Non saprei. Io lo faccio a livello di applicazione.
L'unica volta che m'e' servito proteggere un database (un episodio che
preferirei dimenticare) ho mutilato selvaggiamente "tcpproxy", creando
un organismo geneticamente modificato che lavorava dvro di regexp.
Sul firewall girava il programmino e tu ti ci connettevi come fosse il
database server, dopodiche' alcune query le potevi fare, altre no.
La grossa limitazione e' che bisognava usare il protocollo ASCII, o la
connessione non andava (addio regexp, col formato binario).
Per HTTP magari va ancora bene.
Leonardo e un monte di tempo che non ci rimette le mani
