Newsgroup: it.comp.sicurezza.varie
Titolo: Malfunzionamento dell'antivirus?

Sono un amministratore di rete e ciò che vi sto per raccontare mi ha 
spinto a chiedere qui nel ng. Come sapete, sono stati dei giorni 
terribili per quanto concerne il servizio di posta elettronica.
La rete aziendale che gestisco prevede un server dedicato unicamente al 
  servizio di posta elettronica verso l'esterno e serve anche una 
filiale situata in un'altra regione. Il mail server è situato nella DMZ. 
La posta, così come il traffico ftp e http viene filtrata da un 
antivirus, il Trendmicro Viruswall, ovviamente aggiornatissimo.
Secondo voi, premesso che nessun virus è entrato in rete, che la 
configurazione del firewall e del mail server sono le stesse da mesi, 
che il sistema è 'sicuro' (almeno dai report forniti da Snort): è 
possibile che l'antivirus cominci a rifiutare buona parte delle mail 
'buone' in entrata o in uscita?
Il server è un NT 4, la posta viene dirottata per ridondanza verso un 
ISP e da questo ci viene girata la posta che ci inviano.
Secondo me è stata cambiata qualche configurazione nel server dell'ISP, 
ma la soluzione, suggerita dall'ISP, è stata quella di disattivare la 
scansione dell'antivirus. Non rabbrividite, le mail vengono prima 
filtrata dall'ISP che utilizza lo stesso nostro antivirus, quindi 
'dovrebbero' arrivare pulite. Insomma togliendo l'antivirus è cominciata 
ad arrivare la posta di una settimana fa rimasta pendente sul server 
dell'ISP, quindi, apparentemente è lui il colpevole.
Le domande sono queste: è possibile che un antivirus cominci a non 
funzionare più? Conoscete problemi di 'incompatibilità' tra Trendmicro 
Viruswall e altri prodotti?
Grazie.

 'buone' in entrata o in uscita?
<snip>
Se non ricordo male viruswall funziona come proxy SMTP ossia
si mette in ascolto sulla 25, riceve i messaggi, li filtra e poi inoltra
la mail al server vero e proprio; ora, č _possibile_ che a causa
di qualche modifica fatta dal carrier (ISP) viruswall non riesca piů
a lavorare correttamente, in questo caso sarebbe necessario
modificare opportunamente la config di viruswall, ti consiglio di
provare a riattivare l'antivirus, poi utilizza un'account di posta
esterno per inviare una mail al tuo server e controlla sia quello
che viene riportato (eventuale errore) dal servizio di mail esterno
sia i logs del viruswall, con questi dati dovresti essere in grado
di risalire alla causa del problema e correggerlo
Ciao

 ti consiglio di provare a riattivare l'antivirus
E' proprio quello che ho fatto visto che cmq oggi le mail non 
arrivavano, o meglio, arrivavano 'a singhiozzo' (passami il termine): 
alcune si, altre no. Ho già provato quanto mi hai detto, purtroppo il 
viruswall non riporta alcun log ed il mail server 'vero' funziona 
perfettamente (la posta viene inviata).
Oggi c'è una differenza rispetto a venerdì: la telnet sulla porta 25 
oggi funziona, venerdì funzionava solamente senza il viruswall.
Grazie.
-- 
"If you have an apple and I have an apple and we exchange apples then 
you and I will still each have one apple. But if you have an idea and I 
have an idea and we exchange these ideas, then each of us will have two 
ideas." George Bernard Shaw (1856-1950)

 oggi funziona, venerdì funzionava solamente senza il viruswall.
Beh ... questo è quantomeno strano; ossia, viruswall funziona come
proxy SMTP, in pratica si mette in ascolto sulla porta 25, controlla le
email in arrivo e le inoltra al mail server, ora, nel caso in cui sia il pgm
viruswall sia il mailserver risiedano sulla stessa macchina (non è
proprio il massimo ma...) sarà necessario modificare la porta usata
dal mailserver da 25 ad un'altra tipo es. 225 e configurare viruswall
per inoltrare la mail a 
127.0.0.1:225
 (ed ovviamente configurare il
mailserver per accettare mail da 127.0.0.1) in caso contrario avrai
soltanto dei _grossi_ problemi... in pratica:
25
viruswall
|
225
mailserver
quanto sopra significa che disattivando viruswall la porta 25 non sarà
più disponibile (telnet ritornerà un'errore) mentre con viruswall attivo un
telnet alla 25 riceverà risposta da viruswall e non dal mailserver (ovvio
anche che la 225 NON dovrà essere aperta sul firewall dato che questa
porta verrà soltanto usata per il passaggio dati da viruswall)
Ciao

 viruswall sia il mailserver risiedano sulla stessa macchina (non č
sono su macchine diverse per questo la telnet funzionava, cmq, non ti 
avevo detto che avevo modificato anche la regola sul firewall relativa 
al traffico smtp, scusa la mia dimenticanza
cmq, spero ovviamente che non sia questo il problema, oggi ho ricevuto 
una mail nella quale mi si comunica che č stata scoperta una falla nel 
Firewall-1 di Trendmicro... proprio la sua funzione di proxy server http 
nasconde una falla che permette ad un attaccante di effettuare un 
attacco DoS... penso che a breve sostituirň il firewall NT con un 
firewall Debian ;-)
altra notizia che mi fa pensare male (e sempre piů a Debian) č che non 
riesco ad aprire piů il file di log del firewall, l'apposito programma 
esaurisce tutta la memoria virtuale... o provato a dare dimensioni 
assurde al pagefile.sys, gli ho cambiato anche directory... nulla... 
nessun riferimento su google e niente nel manuale del firewall...
