Newsgroup: it.comp.sicurezza.varie
Titolo: Piccolo aiuto

Salve a tutti.
Mi chiamo Andrea e ho l'esigenza di condividere sulla rete aziendale
l'accesso a internet. Questo dovrebbe avvenire tramite un router ISDN che
gestisce la connessione dai vari terminali utilizzando un solo IP dinamico.
A questo proposito sono a chiedere alcuni chiarimenti:
-Questa soluzione che problematiche di sicurezza potrebbe comportare per i
dati contenuti sui pc della rete locale?
-Qualcuno potrebbe, senza che io me ne accorga, accedere ai dati aziendali?
-E, se la risposta è affermativa, di quali contromisure software o hardware
(utilizzo di un computer proxy, ad esempio), mi consigliate di adottare?
-Quali requisiti tecnici dovrebbe avere il provider con cui fare
l'abbonamento al fine di massimizzare la sicurezza dei dati sulla rete
locale e, insieme, la sicurezza dei messaggi e-mail che dovrei inviare e
ricevere?
Grazie molte a chiunque voglia rispondermi e un saluto a tutti i
partecipanti al NG.
Ciao
Andrea

-Qualcuno potrebbe, senza che io me ne accorga, accedere ai dati aziendali?
Sostanzialmente no. Il router fa NAT, "maschera" tutti gli IP interni
con il proprio, quindi gli IP interni non sono raggiungibili. Anche
installando backdoor tipo BO o NetBus comunque poi non e' possibile
aprire sessioni verso l'interno; rimangono solo due problemi di
sicurezza: il router stesso (che comunque e' difficilmente
attaccabile, soprattutto dai pietosi lamer che affollano la rete) e la
pirlaggine degli utenti, che via mail o via web si scaricano le peggio
porcate, ma su questo i firewall possono fare relativamente poco (per
quanto tu sia furbo e metta filtri, il pirla riesce a essere piu'
furbo, e prima o poi arriva con il dischetto a installarsi la rumenta
sul suo PC).
Ciaps
Luca

Luca
No un router da solo non garantisce alcuna sicurezza.
Ciao.
____________________
Michele Ferraudo
Torino
email:
ferr...@NONusaRE.net
togli le maiuscole NON e RE per rispondere
ICQ 22344505
Tersite

 No un router da solo non garantisce alcuna sicurezza.
....
Ok, questo lo sospettavo. A questo punto, come si dice, la domanda sorge
spontanea -come spero possa sorgere spontanea anche la risposta  ;-)): di
cosa devo dotare la rete locale per garantirne una ragionevole sicurezza?
Forse di un computer avente funzioni di Proxy su cui installare un firewall
? Quale ritenete possa essere un buon programma in questo senso? O, se la
risposta è altra, cosa devo fare?
Vi ringrazio molto per le ulteriori risposte che mi darete come saluto tutti
coloro che leggono questo messaggio.
Un saluto
Andrea

No un router da solo non garantisce alcuna sicurezza.
Che non GARANTISCA la sicurezza totale, SI'.
Che serva a molto poco in presenza di utenti pirloni, SI'.
Che non garantisca alcuna sicurezza in assoluto, NO.
Evitiamo le affermazioni assolute... sono *SEMPRE* sbagliate ;-)))
Leonardo
".signature": bad command or file name

 Che non garantisca alcuna sicurezza in assoluto, NO.
.....
E quindi a cosa dovrei stare attento per garantire una certa sicurezza della
rete locale? In altre parole, essendo a digiuno di problematiche legate alla
sicurezza delle reti, quali sono le domande che dovrei fare quando andrò ad
acquistare un router o a configurarlo?
Infine, conoscete delle risorse sulla rete che potrebbero aiutarmi a
comprendere meglio queste problematiche?
Ancora un grazie per le risposte che perverranno e, di nuovo, un saluto a
tutti.
Andrea

 sul suo PC).
ho notato che la vera pirlaggine si rivela di solito in connessioni
telefoniche con Pc-Anywhere e similari, PPP e similari che permettono un
simpatico accesso spesso diretto alla LAN :O
invy
-----BEGIN GEEK CODE BLOCK-----
Version: 3.1
GSS/TW/O>AT d?(dx) s+:+, s: a-->a- C++(C+++) UL+++>UL++++ P+ L+++>L++++
E-- W(W-) N++ K? w-- O- M- V- PS++ PE Y+ PGP++ t++@ 5 X+ R+(R++) tv b+++
DI+++@ D+ G>G++ e++ h r+(r-) y++*
------END GEEK CODE BLOCK------

 No un router da solo non garantisce alcuna sicurezza.
ah miche' :) su questo siamo d'accordo tutti ed anche Luca che non ha
detto il contrario :)
bye


 Evitiamo le affermazioni assolute... sono *SEMPRE* sbagliate ;-)))
per Leo: ne faccio una io :) evita di rispondergli a meno di aver gia'
visto suoi post su i.c.r.i-a .... tecnicamente molto buoni. ma simpatia
pochina e goduria 'alla emiliana' pure minore :P ... ha il dono
dell'affermazionismo :)
per tersite: qui siamo dei paciocconi :) rispondere come hai fatto tu con
Luca :))))) mah .....



well caro tersite, mi hai toccato un'argomento _interessantissimo_ (slurp!)
facciamo finta (hehe) che io abbia un router con ip statico.
il suo indy è 1.2.3.4 e voglio raggiungere il pc 192.168.1.1 della rete
sulla porta 123. premetto che so reindirizzare il traffico smtp, tale
istruzione che ora non ricordo, opportunamente modificata, reindirizzza
qualsiasi servizio?
ti sarei molto molto grato se discutessimo di questa cosa più
dettagliatamente, in mb, o in un altro thread.
un mayhem che aspetta ansioso! ;-)
--
                      -=>mAyhEm<=-
-------------------------------------------------------
                 Erase WINDOWS to reply
-------------------------------------------------------
  "Non si desidera ciò che è troppo facile ottenere"
-------------------------------------------------------


Opps, mi dispiace apparire serioso, se mi conoscessi bene non lo
penseresti... :-)))))))))))
Lurko sempre con piacere ICSV, lo trovo irresistibile e certamente il
meglio frequentato, sia per simpatia che per competenza, tra tutti gli
it.comp.*. Se a me manca l'ironia è solo perché non domino ancora a
sufficienza la meteria... ma cerco sempre di evitare affermazioni
categoriche...
Ho risposto senza attenzione, ed anche senza accorgermi di essere
PROPRIO su ICSV ;-)))))))))).
Intendevo solo dire che uno screening a livello di rete deve comunque
prevedere l'insieme dei parametri, origine dati, destinazione dati,
protocollo, porte di origine e di destinazione, e che, forse era
meglio anche intervenire a livello di applicazione con un FireWall e/o
un Proxy. E che nessuna di queste cose viene fatta da un router in
quanto tale, neanche dal NAT, se almeno non gli viene detto di farlo.
Non chiedetemi poi se un Firewall è solo hardware, se lo screening
router è un firewall, se un firewall a livello di applicazione è per
definizione un server proxy, faccende che conosco poco sia nelle
definizioni che nella pratica.
Non saprei far arrivare un pacchetto diretto ad un IP interno
attraverso i router di Internet, né prevedere un numero di sequenza...
Pensavo invece fosse più facile crashare un router. Ma non l'ho mai
fatto se non cercando di configurare i miei ;-)))))))
Con i router ho un rapporto difficile... loro non mi capiscono... io
non riesco a spiegarmi, sono dispettosi ed iracondi... proprio come su
ICSV ;-))))))))))))))))))))))


".signature": bad command or file name


 ICSV ;-))))))))))))))))))))))
ah :) questo sicuramente. iracondo poi lo sono di sicuro il venerdi' :)
ben arrivato sano e salvo da lurklandia.


detto il contrario :)
Diciamo che non mi č ben chiaro dove, a livello di definizione, si
fermi il router, dove il masquerading e dove il firewall...
Poi quando si debba parlare di server proxy ecc... ;-))))


ben arrivato sano e salvo da lurklandia.
Mi sa che qui potrò fare poco più che lurkare... spero col tempo...
Diciamo che mi sono rotto delle Sb live, dei "posso installare NT su
una FAT32?", dei "ho due '98 posso condividere la connessione ad
Internet?"
Trovo esilaranti i vari "come posso penetrare nel PC del mio amico?".
;-))))))))))))))))))
Per me resterà epica la penetrazione broadcast ;-))))))))))))


 Per me resterà epica la penetrazione broadcast ;-))))))))))))
prima o poi devo fare il BestofDejaNews di questo gruppo :)


Non potrebbe essere il PC con il server a richiedere la connessione?
Si', e in quel caso funzionera' (mi pare anzi si fosse parlato di backdoors
su protocollo HTTP). Pero', per ovvie ragioni, sono pochissimo diffuse :-)


acquistare un router o a configurarlo?
Che si possa configurare (tipicamente via telnet) e che abbia metodi
per IMPEDIRE la riconfigurazione (password o simili). Che non sia di
quei mattoni di fango e ruggine che ogni tanto si vedono su BUGTRAQ,
che oltre alla password standard magari hanno anche "ye_gods" o roba
simile, che lascia entrare chiunque la conosca.
Che faccia NAT per una sottorete tipo 192.168.e.spiccioli, e che non
consideri il traffico esterno quando deve decidere se riagganciare.
Una ditta che conosco ha fatto collegare due sedi (Padova e Firenze)
con un diald ISDN. Pero' non hanno fatto i conti con Windows 95 e il
suo broadcasting a intervalli regolari.
E dato che era DIAL-on-Demand, per sicurezza si connettevano su ISDN
diretta, in interurbana.
Leonardo e una bolletta stratosferica


Non potrebbe essere il PC con il server a richiedere la connessione?
no, almeno per la backdoor che ho visto fino ad ora.
Inoltre: a chi chiede la connessione? A te che non sei sempre online e
che, quando lo sei, hai un IP dinamico?
Non dico che sia tecnicamente impossibile, ma non ho ancora visto
niente di simile.
ciao
Buttha
-----------------------------------------------------------------------
* Per rispondere rimuovere i
* PGP Key: RSA & DH/DSS
* 
http://members.tripod.com/buttha/
-----------------------------------------------------------------------

Leonardo
Per avere un "buon" livello di sicurezza, diciamo nel caso che io non
debba solo proteggermi da un lamer che vuole spiare le mie chat, ma
debba anche salvaguardare i dati di una qualche importanza per
un'azienda, mi basta uno screening a livello rete o devo prevedere un
firewall ai livelli superiori?


diretta, in interurbana.
Ho avuto il "piacere"(1) di discuterne in passato... ;-))))))))))))
Ho avuto il "piacere"(1) di vederne le conseguenze in bollette da
15 milioni ;-)))))))))))))))
(1). Io li avevo avvertiti... poi mi hanno dovuto nominare
responsabile dei servizi informatici...;-)))))))))
Quando vi chiederete perche' un pedante incompetente come me affolla i
NG saprete con chi prendervela... ;-))))))))))))))


 firewall ai livelli superiori?
se ti devi proteggere anche dall'interno del firewall allora il solo
livello di rete non e' sufficiente. Sai come fanno a fare IRC e WWW et
alia gli utenti di alcune aziende che hanno disponibile solo telnet e SMTP
da un proxy autenticato e loggato a livello di rete ? Incapsulano i loro
pacchetti entro altri che fanno passare attraverso i normali canali proxy
telnet e SMTP ...
se questi proxy non sono in grado di operare un livello di screen anche a
livello di trasporto ed applicazione, dall'interno sono bucabili come una
fonduta.
dall'esterno dipende. Il semplice controllo operato sulle porte puo'
sempre essere bypassato da un attaccante che possa fare un bind di
qualunque porta sul suo sistema. Se ad esempio il tuo firewall permette
connessioni dalla porta 53 alle porta sopra 1024 [DNS], cosa mi impedisce
di connettermi ad un server NFS operando dalla mia porta 53 ? certo ci
vuole uno screen anche del server vero e proprio, ma quale rule del filtro
di pacchetti operera' prima, ad esempio ? spesso le rules sono bifide come
la lingua di un rettile velenoso :) e pacchetti impensabili passano
all'interno.
a questo punto, un buon livello si ottiene mediante ridondanza. oltre a
filtri, router e proxy, cosa ne diresti di operare per alcuni servizi
interni solo mediante IPSec, con autenticazione criptografica ? Esistono
varie implementazioni negli odierni sistemi VPN. Intercettare uno stream
e' relativamente semplice. Sniffarlo o modificarlo in presenza di
criptografia e' decisamente astruso, ora come ora.


ci arriva neanche, al router :-)
Saresti sorpreso scoprendo quanti provider ogni tanto annunciano uno di
questi netblock...
Per non parlare di quanti accettano in ingresso pacchetti con questa
provenienza.
-- 
ciao, | [Per rispondere togli "toglimi" dal mio indirizzo.]
Marco | * The Internet is full. Go away.  -- Joel Furr *

provenienza.
per esmpio interbusiness ;-)))))


questi netblock...
Si', lo sarei se un giorno non avessi fatto per sbaglio
	traceroute 192.168.0.94
anziche'
	traceroute 192.168.10.94
e non avessi visto i pacchetti prendere la strada del Venezuela.
Leonardo
