Newsgroup: it.comp.sicurezza.varie
Titolo: Firewall... chi mi spiega????

C'e' qualcuno che mi spiega, come se fossi un bambino scemo di 5 anni,
cosa e' un firewall, come funziona e come faccio ad usarlo ?????
grazie in anticipo.........


ICQ #34602650

firewall stesso. 
io si: un po' di pulizia ci vuole
ciao
Buttha
-----------------------------------------------------------------------
* Per rispondere rimuovere i
* PGP Key: RSA & DH/DSS
* 
http://members.xoom.it/buttha/
-----------------------------------------------------------------------

 io si: un po' di pulizia ci vuole
beh, la prima regola per non essere vulnerabili dall'esterno è che la
macchina che "vede" l'esterno non abbia servizi attivi superflui o
indesiderati. Bo e netbus ricadono nei servizi "indesiderati", un
webserver non controllato è un servizio superfluo, il netbios aperto
sull'interfaccia tcp/ip verso internet è un servizio superfluo e
indesiderato. Una volta fatta pulizia (nota bene, comunque *necessaria*)
di questi servizi, solo allora mi chiedo: ho altro da proteggere? 
Cioè, io trovo contrario alle elementari regole sulla sicurezza in rete
installare un firewall per proteggere la macchina da connessioni su
servizi che non dovrei avere.  


servizi che non dovrei avere.  
Tutto giusto e concordabile, ma una piccola percentuale di
dubbio ce la metto comunque.
Esempio, se scarico ed installo un qualche cosa da internet ,
previa scansione con un antivirus e con del buon senso :-))
nulla vieta che mi sono inbattuto nella ultima backdoor in
circolazione, e che il mio anvivirus ancora non riconosce.
(Perche' darlo per scontato, e' possibilissimo)
Bene, il mio Atguard mi avvisa che quel programma appena installato
sta cercando di comunicare, ed io prendo le dovute precauzioni.
In pratica, io so' quale programma sta' comunicando quando sono
in rete, verso quali porte ed il perche', e sono solo i programmi ai
quali ho consentito di farlo.
Tutto qui, semplice e funzionale. :-)
Ciao.

 (Perche' darlo per scontato, e' possibilissimo)
No, no, non mi franitendere: hai perfettamente ragione. E anche Buttha
sono certo ha perfettamente ragione. Il fatto č che queste parole
vengono da persone come voi due "esperte", che sanno quello che fanno.
Il fatto č che io leggo molte persone inesperte che invece usano (o
vogliono usare) strumenti senza sapere quello che stanno facendo. Credo
che fra le domande piů frequenti di questo gruppo siano quelle dei tizi
che hanno installato un fake e una volta visto il log sgranano gli occhi
"Oddiomio! Ommadonnina! O che succede?!?" :-)) E facci caso, quasi tutte
queste persone difficilmente accettano come soluzione un buon antivirus,
nonostante siamo tutti d'accordo questo sia una "sgrossata" essenziale
ai problemi di sicurezza dovuti alle backdoor (spece per un inesperto). 
Secondo me, come primo punto č essenziale sapere che per non farsi
fregare i soldi da un ladro di polli non si tengono soldi nel pollaio:
poi, in seconda istanza e ben consapevoli del primo punto, si puň anche
mettere la porta blindata al pollaio. Invertire le cose o addirittura
ignorare il primo punto č sbagliato.


 loro due reti, poi il resto viene da se.
forse dovresti dare un occhiata pure a man route
se hai dubbi scrivimi pure
Ciao

di questi servizi, solo allora mi chiedo: ho altro da proteggere? 
si, purtroppo.
Se uno usa win95 allora dovrebbe correre ai ripari e procurarsi conseal o
simili, vista l'esistenza di un DoS igmp che lo fa morire seduta stante.
Inoltre, se qualche volta vai su IRC, allora ti conviene anche controllare
gli ICMP, dato che con questo protocollo ti disconnettono dal server.
Inoltre, come gia' detto da 38 special, controlli "funzionamenti anomali"
di applicazioni.
A proposito di strane cose:
mi sono accorto, proprio usando un firewall, che accesso remoto, ogni
tanto, vuole mandare un pacchetto di tipo udp, per il servizio nbname
(porta 137/udp), sull'indirizzo broadcast della mio sottorete.
Ecco un esempio:
Rule "Implicit block rule" blocked (212.216.96.255,nbname).  Details:
Outbound UDP packet 
Local address,service is (default,nbname)
Remote address,service is (212.216.96.255,nbname)
Process name is "C:\WINDOWS\SYSTEM\RNAAPP.EXE"
ciao
Buttha (che vorrebbe settare il follow up su icsw, ma solo per la seconda
parte del post, quindi non lo fa... abbiate pazienza)


firewall stesso. 
ne convieni? :)
ciao
Buttha


servizi che non dovrei avere.  
mi trovo perfettamente daccordo..ed in piů anche volendo cadere nel
campo dei DOS..ormai win98 č davvero poco vulnerabile.

(porta 137/udp), sull'indirizzo broadcast della mio sottorete.
Si', vero? Simpatico quanto una palata di sterco. E' quell'accidente di
NetBEUI che si fa sentire.
Leonardo
".signature": bad command or file name

NO-...@oval-office.us-govt.com
 (NO SPAM) wrote:

Nel campo dei DoS, Win98 continua ad avere lo stesso meccanismo di generazione
NON casuale dei numeri di sequenza casuale che espone qualsiasi servizio TCP a
una serie di guai [_AMMESSO_ che qualcuno glieli voglia far passare].
Dato che nessuno se n'e' ancora lamentato, e l'exploit richiede una banda piu'
ampia di quanto disponibile allo script kiddie medio, e fixarlo sarebbe un bel
bagno di sangue, il baco sara' fixato forse da Win2001.


Mmm, ma io questo lo faccio con un semplice netstat -a :-)
Si, ma quando la comunicazione e' gia' in atto.
Ed in quella manciata di minuti o secondi, i miei parametri di
accesso remoto potrebbero gia' trovarsi su tutta la gerarchia ALT.
Francamente sono stufo di tenere un occhio al Newsreader
l'altro al browser e l'altro ancora al netstat. :-))
Ciao.

(porta 137/udp), sull'indirizzo broadcast della mio sottorete.
ogni tanto? eheh
lo fa fino allo sfinimento (mio)

l'altro al browser e l'altro ancora al netstat. :-))
noto con piacere che esistono persone piu' paranoiche di me ;)

anche contro Linux, ovviamente - DoS SO-independent).
Se riescono a disconnetterti con la SEQ/ACK vuol dire che hanno cmq
tanto banda da floodarti in modo anche più efficace.

lo fa fino allo sfinimento (mio)
che lo faccia passare, o lo blocchi, non cambia nulla: ha appena vinto una
rule tutta per lui.


NO-...@oval-office.us-govt.com
 (NO SPAM) wrote:


In realta' serve si' banda, ma non poi tanta, perche' mandi pacchetti
vuoti, mentre la vittima li manda e li riceve pieni... si rallenta la
vittima con qualche trucco, per maggior sicurezza, poi si sconnette.
Ci vuole un paio di minuti ad aver fortuna, e una ISDN potabile.
Certo, con una MAN universitaria si fa prima.


bagno di sangue, il baco sara' fixato forse da Win2001.
A titolo di informazione: ...
Win2001 è la versione di Windows che non hanno ancora in mente i
programmatori della Microsoft e che probabilmente non uscirà mai?
^_____^
Ciao
                            ^MoRpHeuS^ che ci crede poco

nonostante siamo tutti d'accordo questo sia una "sgrossata" essenziale
IMHO piu' del 50% di chi legge questo NG non lo fa' per proteggersi
ma per attaccare. Hai perfettamente ragione quando dici di chiudere
le porte inutili, di fare politica di prevenzione, usare antivirus,
ma questi sono concetti accettati da chi si vuole tutelare, non da
chi invece vuole minacciare un sistema e/o comunque porre in essere
comportamenti illeciti. Certo la voglia di rendere pan per focaccia
e' grande, peccato che ponga i contendenti sullo stesso piano.
Se poi c'e' anche chi gli spiega come farlo....
Ciao Francesco.

Se poi c'e' anche chi gli spiega come farlo....
beh... "security by obscurity" non ha mai funzionato.
Del resto, sapendo come si attacca si capisce come difendersi.


Process name is "C:\WINDOWS\SYSTEM\RNAAPP.EXE"
Ciao. (premessa: sono inesperto di queste cose).
Anch'io nella lista delle "connessioni" consentire ho Default Oubound
NetBIOS, con scritto" nbdatagram, nbname". Protocollo consentito UDP.
Devo bloccarlo oppure va bene anche così?
Cosa sarebbe questo programma? L'ho anche in "Inbound".
Avrai capito che non so usare @Guard, infatti l'ho installato solo
ieri sera ed ancora non ho ben chiare molte cose tecniche.
Grazie se vorrai aiutarmi.

Cosa sarebbe questo programma? L'ho anche in "Inbound".
serve per condividere risorse: se non hai la necessita' di condividere file
o stampanti, allora blocca tutto e togli netbios anche dalle proprieta' di
rete di windows.
Forse mi chiederai come vedere se hai il netbios installato e, se c'e',
come toglierlo, ma vado di fretta, quindi aspetto che tu mi ponga la
domanda :)
In ogni caso, puoi vivere tranquillo se usi le rule per *bloccarlo*.


Buttha
Ciao Francesco, apprendista difensore del suo PC 
emerita schiappa a scacchi.
PS Rileggendo prima di postare mi rendo conto che e' meglio
precisare che quanto detto non e' riferito ai "maestri" ma
al tono medio delle domande poste sul NG.

 ha scritto:
:> Vorrei dire la mia pur non essendo ne' un esperto ne' un mago della
:> tastiera. C'e' anche un'altra considerazione da fare Marco, ormai
:> muoversi in rete e' diventato come camminare su un campo minato.
:> Chi si vede la macchina "segata" dai soliti furbi corre ai ripari
:> installando software che non sempre e' in grado di usare ma la colpa
:> non e' sua, la colpa e' di chi usa i prg "segatori". 
No, la mia critica è un'altra (se vogliamo chiamarla critica, ovviamente).
Il requisito essenziale affinchè un lamer possa fare del male è che sulla macchina della vittima sia presente il programma server. Inoltre, quando si parla di "porta aperta" si intende che è presente il server e attende connessioni su quella porta. 
E' evidente che la *prima* cosa da fare è rimuovere il server dalla propria macchina. 
Non voglio dire che sia sbagliato in assoluto mettere su altri apparati difensivi come firewall e simili. Dico solo che se non si pensa prima di tutto a rimuovere il programma server dalla propria macchina significa che NON si ha assolutamente coscienza della natura del problema. Non si sa da dove nasce il pericolo. 
:> IMHO piu' del 50% di chi legge questo NG non lo fa' per proteggersi
:> ma per attaccare. Hai perfettamente ragione quando dici di chiudere
:> le porte inutili, di fare politica di prevenzione, usare antivirus,
:> ma questi sono concetti accettati da chi si vuole tutelare, non da
:> chi invece vuole minacciare un sistema e/o comunque porre in essere
:> comportamenti illeciti. 
Questi consigli sono diretti ovviamente a chi si vuole tutelare <grin> 
:> Certo la voglia di rendere pan per focaccia
:> e' grande, peccato che ponga i contendenti sullo stesso piano.
Io non ci vedo nulla di moralmente sbagliato nel "rispondere" a questi tentativi. Il problema non è questo. Il problema è che per fare questi giochini bisogna sapere le regole, altrimenti si finisce scottati.
-- 
Marco Sarti 
marco...@dada.it
-------------------------

"assassino e' chi tira il grilletto, non il fucile che spara".
beh... che dire? E' ineccepibile :)


E' evidente che la *prima* cosa da fare č rimuovere il server dalla propria macchina. 
Ok, inizialmente pero' (win95) conseal serviva anche per evitare che
icmp e roba varia frammentata e carpiata facesse cadere il picci ;)

 un fake installato.
Un fake installato non aggiunge *nulla* il termini di sicurezza. Anzi,
toglie. I fake fanno incazzare i lamer che spesso si accaniscono con
altri tipi di annoying. Inoltre ci sono aspetti spesso ignorati, di
questi fake nessuno sa nulla su come funzionano e potrebbero
tranquillamente avere dei buchi. 
Meglio, molto meglio non avere nulla. Meglio ancora, dotarsi di
strumenti che garantiscono che non hai nulla.


programmatori della Microsoft e che probabilmente non uscirà mai?
No: secondo lo schema classico di numerazione di Windows, e' la
release che uscira' nel 2003, e che tra le altre cose fixera' l'Y2K.
Ciaps
Luca

In ogni caso, puoi vivere tranquillo se usi le rule per *bloccarlo*.
Ti ringrazio molto per la risposta, e se vuoi ed hai tempo mi puoi
rispondere alla domanda che ti sei autoposto? :-)
Ovvero... come faccio a vedere 'sto NetBios e come toglierlo?
Grazie!

Ovvero... come faccio a vedere 'sto NetBios e come toglierlo?
c'hai win95 o win98?
Ti rispondo qua, ma setto il followup su it.comp.sicurezza.windows, che e'
il gruppo piu' adatto.
Se ha win95, e se ben ricordo, devi fare cosi':
pannello di controllo - rete - tcp/ip
e scegli netbios. Li puoi disabilitarlo.
Con win98 non hai la possibilita' di farlo, e l'unico modo per toglierlo
(che io sappia) e quello di eleminare dalla lista "Accesso di gruppo
personalizzato" (windows ti dira' che la configurazione non e' completa, ma
tu fregatene).
