Newsgroup: it.comp.sicurezza.varie
Titolo: firewall ed accesso

salve,
sono da poco iscritto al newsgroup, ed ho alcune domande che mi opprimono
:-)
sono in procinto di installare un firewall per una piccola lan aziendale (ms
isa);
vorrei sapere quale è il modo migliore per continuare ad accedere a
determinati servizi del server dietro il firewall senza compromettere la
sicurezza.
conoscete qualche lettura sull'argomento?
daniele

 isa);
IMVVVVHO, comprare un firewall da Microsoft č come stipulare un
assicurazione con la 'ndrangheta


in che senso?
premetto che non è mia la scelta si usare isa,
dalle caratteristiche mi sembra al pari di altri software.
il mio problema comunque è questo,
quali rischi corro se lacio aperta la porta 80 verso un server all'interno
del fw?
devo trovare un modo di trasferire i servizi in una dmz?
da


sarebbe il caso, sě


il server web non sta sul fw ma su un server all'interno del fw
faccio uno schizzo della situazione
router ------ DMZ------Fw---------lan+servers
tutti i servizi accessibili dall'esterno si trovano sul server che sta nella
dmz,
oltre a questi dovrei consentire l'accesso da parte di alcuni client
(non posso discriminarli per ip, non lo conosco a priori)
di accedere al server di exchange via web, e  questo server  si trova
all'interno del firewall.
che tipo di rischi corro lasciando aperta solo la porta del web verso uno
dei server interni alla lan?
ci sono precauzioni aggiuntive da prendere nel caso dovessi optare per
consentire l'accesso?
riguardo ad isa non sono neanche io troppo entusiasta della scelta, ma userò
questa
opportunità per fare dei confronti sul campo.
da

 router ------ DMZ------Fw---------lan+servers
io quella non la chiamo dmz ma outside, bad, esterna, come vuoi te.
per me dmz puo' funzionare in 2 modi:
rtr - frw - dmz(server vari) - frw - lan 
rtr - frw - lan
       |
      dmz
(da vedere con font non proporzionali) 
nella realta' trovi piu' spesso il secondo esempio.
quindi aggiungi una scheda di rete sul tuo firewall, togli isa server,
metti openbsd e lavora felice ;P
inutile dire che la dmz ha una classe ip diversa dalle altre: o ip
privati diversi da quelli dell lan ed il firewall fa nat (mi piace tanto)
o subnetti in 2 gli ip che ti hanno dato e ne assegni meta' alla dmz.
dipende dalle applicazioni e dagli helper che vuoi utilizzare.
un mayhem con il nuovo scanner
-- 
I dilettanti hanno costruito l'arca, i professionisti il Titanic
Cisco  FAQ: 
http://mayhem.oltrelinux.com/icrc
SPP  wpage: 
http://www.spippolatori.com
Hacklab VR: 
http://www.m2net.it.eu.org

 metti openbsd e lavora felice ;P
e due... :-)
che per caso con isa non posso usare piů schede di rete?
credo di aver appurato che ms non č simpatico a nessuno
perň la questione per me č indipendente da chi fornisce il fw (ms, *nix,
hardware, ecc.)
proverň a fare la mia domanda in un nuovo post impostandola sul tipo:
come fare per accedere ad exchange via  web dall'esterno del fw in tutta
sicurezza?
(forse "tutta" sicurezza non č prorio l'espressione adatta :-) )
da

 indipendente da chi fornisce il fw (ms, *nix, hardware, ecc.)
credo che isa supporti diverse schede di rete, eventualmente varia il
costo della licenza. il modello che ti ho proposto e' indipendente dal
vendor ...
tu metti tutte le macchine a cui e' possibile accedere da internet su una
lan a se, diversa dalla tua lan dei client ...
in questo modo da internet potrenno vedere solo quello che vuoi di quel
server (il frw serve a quello no?) dalla lan potranno accedere agli
stessi se non piu' servizi.
in questo modo se compromettono la macchina in dmz devono passare il
firewall per poter compromettere qlcs in lan.
ma se hai dubbi di questo tipo, non so se e' conveniente che sia tu ad
occuparti dell'installazione. rischi di dormire tranquillo perche' sei
sicuro che il tuo firewall (indipendentemente dal modello) ti protegge,
mentre invece non tutto e' come dovrebbe. intanto il lupo ruba la
marmellata dalla stalla.
un mayhem ed i modi di dire


 (forse "tutta" sicurezza non è prorio l'espressione adatta :-) )
Neanche "sicurezza".
-- 
HappyCactus - Linux User #209744 - LFS User #6046 - >>> SMSPM1050 <<<
              YAGF Member Group >>> 
www.google.com
 <<<
Ci sono 10 categorie di persone al mondo: quelle che capiscono
il sistema binario e quelle che non lo capiscono.

in effetti mi sto documentando proprio per evitare
di fare qualche "cappella".
hai qualche lettura da consigliarmi in proposito?
avevo intenzione di impedire completamente l'accesso dall'esterno
ad alcuni server che contengono informazioni sensibili.
l'idea di posizionare quese macchine nella dmz e consentire l'accesso
dall'esterno non mi entusiasma.
comunque grazie delle dritte
da

 non mi entusiasma.
i server non vanno in dmz. solo i server esposti ad internet. il mail
server va in dmz. il web server va in dmz. il file server, il print
server, il db server, quelli tutti in lan. 
un mayhem che insiste sul chiederti di chiamare un consulente esterno



comunque una lettura su isa server potrbbe essere il thread "messaggi di
popup" di oggi venerdì 25/10

 assicurazione con la 'ndrangheta
ROTFL!
Stef_Ozzy

 
Lettura istruttiva. Riassunto: Exchange come server SMTP su internet
nun' è' bono. 
Come server intranet, è un'altro discorso.
-- 
Renato 'Hitman' Salzano / 
http://spazioinwind.libero.it/hitman/
GdG #6 / IHGGer #778 / Counter VFNCL di IFTMdG / Yane's Fan #00 
"[-](Back to the front)/you will do what I say,when I say/[-]/you will die
when I say,you must die/[-]/you coward/you servant/you blindman/you soldier"


Lo schema non e' visualizzato bene, cmq la lan + servers interni
si trova collegata sullo switch piu' a destra dello schema.
Danny


fare confronti fa sempre bene :-)
Un Danny che e' d'accordo con Mayhem sul discorso di chiamare
un consulente esterno.


Io l'ho letto ma non trovo attinenze... puoi spiegarmi cosa intendi, per
favore... ?
Danny

 consulente esterno.
Mi aggiungo anche io...
-- 
Emanuele Balla aka Skull
-----------------------------------------------------------------------
Besides, I think [Slackware] sounds better than 'Microsoft', don't you?
(By Patrick Volkerding)


Se sia indispensabile non so, ho letto che fornisce un livello di sicurezza
maggiore, oltre al fatto che cmq aiuta quelli che hanno solo un IP pubblico
disponibile...
Un Danny che se ti va di perdere 5 minuti a spiegarmi cosa si intende per
filtrare in bridging male non mi fara' di certo :-)

 per filtrare in bridging male non mi fara' di certo :-)
hmmm.. prova questo:
http://bridge.sourceforge.net/docs/Firewalling%20for%20Free.pdf
e buona lettura...
Uno skull che è d'accordo nel prendere le parole di mayhem per buone alla
prima e che non ha capito se c'era allo SMAU perchè non sa che faccia
ha...


 buono di default ;-)
 
per rendere piu' sicura la tua rete devi usare cavi di rete blu elettrico
e fare un versamento sul cc che ti mando in e-mail ;P
un mayhem consulente serio


 faccia ha...
anche a te mandero' gli estremi del mio cc ed i cavi rj-45 blu.
inoltre allo smau ero quello vestito da giuca casella davanti al workshop
dei blackhats. (alcuni dicono che ero quello vestito). 
un mayhem che "quanto tempo che non ti vedo ... come ti sei ridotto?" :(


 blackhats. (alcuni dicono che ero quello vestito).
Deeeheeeheee...
Ho passato mezza mattinata e mezzo pomeriggio, alla conference di
blackhats... Sono sicuro che se cominciavo a urlare un po' di nick a caso
c'eran tutti... solo che non conoscendo le facce non so chi ho visto ;-)
Maurizio, tu quale eri??? :-)
Byez...



-- 
"Ehi, fratelli. Qui c'e' scritto che c'e' anche il tempo per combattere".
SETI@home: 143WU/7935hrs on a P166MMX :-)
SecurFaq             : 
http://securfaq.usenet.eu.org
Biancorossi Siamo Noi: 
http://www.tifonet.it/free/ancona/

 blackhats. (alcuni dicono che ero quello vestito).
Aspetta aspetta... palandrana modello "australiana" della marlboro (uguale
alla mia...)???
Poesse?
Byez..



ADESSO che ho cambiato server li vedo tutti, a parte che m'e' toccato
scaricare 600 Headers invece dei soliti 300...
Un Danny che vorrebbe proprio sapere cosa han combinato
sul news server di interbusiness


Grazie mille :-)
Danny

 (uguale alla mia...)???
<mode cronista di gossip on> 
ero quello con scarpe nere fatte a mano, intonato alla cintura di marca,
con un abito versace blu elettrico ed una camicia alla moda di non troppo
sobrie righe trasversali di diverse tonalita' di blu,; fumavo
continuamente delle marlboro rosse morbide accendendole con un accessorio
volutamente povero: un accendino bic dello stesso blu del vestito. come
un'arma pendeva dalla mia cintura dentro un porta cartucce da mitra un
communicator, indispensabile per le dispute che sorgono al bar a cui solo
google puo' rispondere. avevo occhiali scuri a goccia che portavo
appoggiati alla fronte ed avevo con me uno zaino monospalla nero modello
gay, marchiato "linux & c" ed appesa alla giacca una molto d'immagine
targhetta azzurra che riportava quello che gli umani chiamano real name".
<mode cronista di gossip off>
un mayhem che vorrebbe scrivere su novella 3000
