Newsgroup: it.comp.sicurezza.varie
Titolo: VPN, queste sconosciute

Ora che ci son le ADSL piu' veloci, pare che le aziende si sian svegliate
col pallino di implementare le VPN.
Bene, allora discutiamone un po' :
nel momento in cui un pc remoto mi entra nella rete, io come faccio a
sapere se devo cacciarlo fuori dicendogli "no no: non so cosa mangi !" ? :-)
Che tipo di strumenti si possono usare, oltre al brain.exe, per cercar
di capire se quel pc remoto puo' veicolarmi worm, virus etc etc
attraverso la rete ?

 so cosa mangi !" ? :-) 
ma che c'entra scusa? Se implemente una VPN si stabiliscono degli 
accordi e, a secondo del protocollo, degli identificativi. Nel caso 
di una VPN con w2000 devi avere determinare credenziali, user e pass, 
e il sistema deve essere predisposto cmq per accettare una 
connessione VPN. Con un router idem. Non è che un PC è già 
predisposto per accettare una connessione VPN eh ..
-- 
Ciao, Dmitry
FIAG - Free It-Alt Group | X-Planet Community
http://www.fiag.it
       | 
http://www.x-planet.org


mi saro' espresso male : sul fatto che debba esservi una procedura di
autenticazione
non ci piove, ma nel momento in cui il pc ha stabilito la connessione,
diventa a tutti
gli effetti come un pc in rete con il server.
E se per caso questo pc e' pieno zeppo di worm, virus e compagnia bella ?
Tu che misure di sicurezza prenderesti, nel caso ?

 
noi semplicemente NON facciamo entrare in rete pc privati. Solo pc 
aziendali (e quindi con antivirus ecc. ecc. )
Bilo


Perfettamente d'accordo.
Difatti, il mio dubbio rimane, detta cosi' in modo ultrasemplicistico
"ci vorrebbe un programma in grado di filtrare i dati che arrivano da quel
pc
in modo da non far passare quelli nocivi"
chesso', il pc remoto ha un trojan che cerca di copiarsi sullo spazio che il
mio server ha assegnato all'utente che si e' connesso in VPN.
Allora faccio in modo che non possa copiare eseguibili (sparo a casaccio).
Una roba del genere esiste ? e' fattibile ? Ci ha mai pensato qualcuno ?
Mi pare che sinora si sia assunto per default che il pc remoto sia
"trusted", eh ?

 gli effetti come un pc in rete con il server.
Beh, dipende come hai fatto la vpn, e chi la gestisce.
I casi sono vari:
PC privato del direttore che deve collegarsi ad un determinato server:
dopo autenticazione a chiave pubblica, il firewall lo lascia passare
SOLO per andare a leggersi i suoi documenti di bilancio con filtri
strettissimi.
PC aziendale in dotazione a funzionario:
Come prima, ma in piu' il pc e' soggetto a restrizioni d'uso (che non
speri di installare cio' che gli pare), e monta un antivirus ad
aggiornamento automatico NON DISATTIVABILE.
PC di consulenti per manutenzione software:
come il pc del direttore, con le porte aperte con il contagocce, ed
eventuale filtro sul contenuto tramite un proxy.
Il *MIO* pc di casa:
Una volta che mi ha riconosciuto (e non e' facile) posso in effetti
fare quel caspita che voglio...su un unico server da cui, poi, se e' il
caso, mi connetto alle altre macchine.
Morale: la VPN aperta come la intendi tu e' una follia implementativa in
quasi tutti i casi.
Dico quasi, una vpn aperta tra due sedi della stessa azienda, con reti
protette e macchine installate dal sysadmin con patentino da bofh
paranoico di terzo grado[*] potrebbe anche essere fattibile.
[*] Ma se il sysadmin ha quel grado, NON fa una VPN aperta. ;-)
-- 
           |Save our planet!
    Ciao   |Save wildlife!
   roberto |For your E-MAIL use ONLY recycled Bytes  !!
           |roberto poggi   
rpo...@softhome.net

 Una roba del genere esiste ? e' fattibile ? Ci ha mai pensato qualcuno ?
vedi sopra
Ciao
M.
-- 
Immagino un mondo senza guerra, un mondo senza odio
e immagino noi che lo attacchiamo
perche' non se lo aspetteranno.
http://www.metrophotogallery.it/categories.php?cat_id=39


Eh... che ne dici di tre sedi (collegate in VPN direttamente da mamma
telecom con server Windows 2000 su cui _Dio_solo_sa cosa ci sia
installato) di un'azienda che proprio il sysadmin _non ce l'ha_ ed i cui
tre pc nelle rispettive sedi vengon usati per farci girare il programma
gestionale aziendale e riesco pure a navigare in internet (!) ... ?
Un Danny che a sto punto verra' posseduto dallo spirito di tal Ponzio :-)

 attraverso la rete ?
C'e' una soluzione su cui sta lavorando (mi pare) cisco, tesa a validare 
lo stato di salute (quanto meno potenziale) del client prima d'accettare
la connessione in ingresso. Tipo verificare che l'antivirus sia in stato
d'aggiornamento accettabile, ci siano le patch previste, ecc. ecc. Ovvio
che _non_ e' un sistema di autenticazione e che, basandosi su info che i
client forniscono, potrebbe soffrire di alcuni limiti (direi minori dato
l'ambito applicativo).
Fabio

 problema. 
concordo. le credenziali si danno su ragion veduta oppure no.


 come un pc in rete con il server. 
si ok, ma se hai dato le credenziali per potervi accedere significa 
che hai fiducia di quell'host. Semmai si potrebbe invece parlare dei 
sistemi di cifratura che vengonop utilizzati nelle VPN, magari 
parlare di altri protocolli di cifratura come SSL e SSH, ma in senso 
stretto una VPN è solo un canale, la forma è altra cosa.



mi pare.
Difatti ci sto ragionando su', il post di Fabio mi sembra interessante, una
soluzione del genere secondo me potrebbe rivelarsi commercialmente valida,
quali possan essere le eventuali implicazioni tecniche francamente non
saprei
dirlo, al momento, pensa che l'idea di aprire il thread me l'ha data roberto
con
il suo cenno alla DMZ interna, pigliatela con lui ;-)

 che hai fiducia di quell'host.
io si che ho fiducia di quell'host, e' l'host che non deve aver fiducia in
me ;-)))

 C'e' una soluzione su cui sta lavorando (mi pare) cisco, tesa a validare 
http://www.cisco.com/en/US/netsol/ns340/ns394/ns171/ns75/netqa09186a00801d822e.html


Ideuzza...
Per ogni nuovo file creato sul server l'antivirus gli fa un scan.
L'unica cosa che non saprei come fare è la rilevazione sulla creazione di un
nuovo file. Però se conosci qualcuno che può farti un programmino che rileva
la creazione di file...
Byezz

 fiducia in me ;-)))
quoto :)


 ad un qualsiasi altro host che sia in LAN/WAN/DMZ.
La differenza (IMHO) e' che esiste una maggiore probabilita' che un client 
vpn (che ho implicitamente inteso come road warrior) possa "sfuggire" all'
enforcing delle politiche di aggiornamento delle macchine fisse in lan. E'
quindi maggiormente probabile che dei road warrior si trovino in uno stato
di non conformita' alle policy aziendali. In questo caso la connessione e'
rifiutata nonstante la validita' delle credenziali di accesso fino a che i
requisiti non vengono soddisfatti (l'antivirus sia aggiornato, la patch si
trovi al suo posto, ecc ecc). Nulla vieta di adottare simili aggeggi anche
per le macchine in lan/wan non road warrior, ma in questo caso mi viene da
pensare che i rischi siano inferiori.
Fabio

 con il suo cenno alla DMZ interna, pigliatela con lui ;-)
Ok, picchiate pure, ho le spalle robuste.
Ma questo e' proprio un caso in cui la dmz interna arriva ad avere un
senso, se non addirittura diventi indispensabile.
Come ho detto:
O i componenti della vpn sono assolutamente sicuri, fidati, e sotto il
tuo controllo, oppure occorre qualcosa che faccia il piu' possibile da
mastino.
E cosi' ho trovato il nome da dare al mio fw interno: ettore. :-)


 la creazione di file...
Ehm, non e' per dire, ma e' cio' che fa, di mestiere, il monitor
residente di qualsiasi antivirus. ;-)



Eh... in effetti è vero :-P
Ma non tutti lo fanno, _alcuni_ controllano il file solo quando si cerca di
accedere ad esso, ma non quando lo si vuole copiare/cancellare.
Oppure non tutti gli AV analizzano di default i file compressi.
Comunque... è vero... la maggior parte lo fanno :)
Byezz

 Giuro che questa non l'ho capita.
era una autocritica immagino ..


 Oppure non tutti gli AV analizzano di default i file compressi.
Questo e' sicuramente piu' diffuso, molti disabilitano la scansione
sugli archivi, specialmente su un file server, che dovrebbe sopportare 
un carico non indifferente.
Ma qui ricadiamo nel solito discorso, alla base di tutto questo thread:
Se hai controllo sullo stato di salute dei client, puoi prendere queste
scorciatoie.
Se il client e' in tutto o in parte fuori dal tuo controllo, devi
metterti pantaloni di ghisa e mutande in carbonio.


l'ambito applicativo).
Anche MS ha qualcosa di simile sul 2003:
http://www.microsoft.com/windowsserver2003/techinfo/overview/quarantine.mspx
Ma non ho ancora avuto tempo di provarlo.
Ciao
-- 
Francesco