Newsgroup: it.comp.sicurezza.varie
Titolo: domanda su configurazione router/firewall

salve a tutti
Ho un router/firewall con spi Netgear FWG114P, con cui mi trovo peraltro 
molto bene.
Ho fatto i vari test di vulnerabilita', ottenendo "stealth".
La mia domanda e':
l'apparato e' configurato (di default) in modo da fare DENY a ogni cosa 
in ingresso tranne quelle che volutamente sono permesse con una regola
e
di fare ALLOW a ogni cosa in uscita.
Non sarebbe piu' serio fare anche DENY a ogni cosa in uscita tranne ai 
servizi che effettivamente si usano (pop3, http, ecc ecc), anche se cio' 
andrebbe fatto manualmente e comporterebbe un po' di lavoro in piu'? :)
grazie mille!
ciao!
-- 
NiCkO [24y,136hp,VE]

 andrebbe fatto manualmente e comporterebbe un po' di lavoro in piu'? :)
Considerando il fatto che il primo worm che passa su una delle macchine 
interne si preoccupa di chiamare l'abusante e mettersi a sua 
disposizione, oggi come oggi una configurazione come il default che 
descrivi è *completamente inutile*.

 descrivi è *completamente inutile*.
mentre invece avrebbe un senso quella alternativa che ho proposto, giusto?
-- 
NiCkO [24y,136hp,VE]
406 ST SPORT 2.2 16V HDi *FAP*
+Dell Axim X30@624MHz & TomTom
+Cruise Control (grazie 
307club.it
!)

 mentre invece avrebbe un senso quella alternativa che ho proposto, giusto?
Già, anche se non è sempre facile stendere le policies del caso...

Skull ha scritto:

con una buona dose di pazienza e qualche bestemmia "grassa" conto di 
fare un lavoro quantomeno decente..
hai qualche consiglio da darmi in merito? :)
(per le plicies, per le bestemmie mi arrangio da solo, grazie :)


 (per le plicies, per le bestemmie mi arrangio da solo, grazie :)
Peccato. Potrei portare un contributo decisivo alla blasfemia del 
risultato...

 risultato...
allora se te ne viene qualcuna di ispirata non esitare e comunicamela ;)
grazie!
ciao


 andrebbe fatto manualmente e comporterebbe un po' di lavoro in piu'? :)
si, però devi conoscere bene i protocolli, altrimenti rischi di perderti 
qualcosa. Ad esempio SVCHOST che richiama gli aggiornamenti di windows 
update.
-- 
Ciao, Dmitry
X-Privat F.A.Q. : 
http://www.x-privat.org/faq.php

 
uuuuh puoi dirmi qualcosa di piu' in merito?


 uuuuh puoi dirmi qualcosa di piu' in merito?
volgio dire che di solito un firewall *minimale* blocca tutto quello che è in 
inbound verso le tue porte locali e non l'inverso. Puoi farlo, però devi 
creare delle policy abbastanza laboriose, specie sotto win. Ad esempio se hai 
anche un AV che richiede aggiornamenti periodici verso la loro 80 oppure 
verso un server ftp, devi permettergli di farlo. Spesso non basta abilitare 
solo HTTP e MAIL in uscita, ci sono anche altri servizi utili.


 ad esempio quale? al momento non ne ho alcuno...
Ethereal è una buona scelta in ogni caso...

 update.
svchost è un processo 'a la inetd', non una porta.
-- 
Chaos A.D.		|	Raging crowd
Tanks on the streets	|	Burning cars
Confronting police	|	Bloodshed starts
Bleeding the Plebs	|	Who'll be alive?

 svchost Ãš un processo 'a la inetd', non una porta.
se però con il firewall blocchi anche tutto in outbound indistintamente, non 
riesci ad usarlo. SVCHOST usa una porta locale a caso (si fa per modo di 
dire) per collegarsi ai siti di windowsupdate sulle porte 80 e 443 (ora non 
ricordo quali siti ma è così). Ovviamente non ti basta permettere al firewall 
di collegare solo IE a queste porte, ma devi farlo anche per SVCHOST.
Concordi?


 Concordi?
Si parlava di un firewall Netgear. E' un "coso" esterno. Che gli frega 
di quale processo sta effettuando la richiesta?
/me perplesso

 riesci ad usarlo.
Guarda il subject ed il primo messaggio del thread.


 di quale processo sta effettuando la richiesta?
inizialmente si, poi mi pareva che la discussione fosse più generalizzata.
Tanto per polemizzare no?


 Tanto per polemizzare no?
Se ne sei convinto... O__o

 eri tu che l'avevi prvata ?
E' passato qualche cosa su sikurezza, puoi provare a guardare negli
archivi.

 
http://bandwidtharbitrator.com/
eheheheh...


 Scusami, ma se scrivi inesattezze non sono loro che polemizzano.
era un discorso generale, non ci voleva molto a capirlo ..


 dato che cosě non č...
meno male che non č cosě ..
PS: questa non č inutile polemica? mah..


spargimento di sangue.
Non basta: per esempio sarebbe piu' prudente (e ancora insufficiente)
bloccare tutto e ammettere solo:
	- connessioni su porte uscenti in $(PUBLIC_SERVICES)
	  (80, 443, 119, 110)
	- connessioni su porta uscente 25 dirette al relay
Questo ancora non basta, perche' alcuni email-worm leggono i settaggi
di Windows e usano quelli, mandando email "legittime". Per quello, mi
sa che l'unica sia un robusto transparent proxy + antivirus, cosi':
	- connessioni su sarcazzi:25 vengono loggate e rifiutate
	- connessioni su relay:25 da smtproxy vengono passate
	- connessioni su relay:25 da altrove vengono intercettate
	  da smtproxy, che prende tutto e lo antivira :-)
Per la porta 110 potrebbe essere piu' complesso: magari sempre usando
un proxy trasparente, unito a un accrocco in userspace (al limite, un
controllo usando -j LOG leggendo messages) che gli consenta di capire
a quale macchina PENSA di collegarsi l'utente (es: box.tld), cosi' da
controllare nel database utonza e password; dopodiche', viene dato l'
accesso a una box locale dove periodicamente viene scaricata la posta
di box.tld. Il vantaggio e' che in una rete di 50 persone... ciascuna
delle quali controlla la posta ogni 60 secondi se no muore... si puo'
ridurre a piacere il traffico verso l'esterno e avere un primo strato
antispam/antivirus.
Il caso dei trojan autotelecomandati via IRC e' insolubile, a meno di
voler sviluppare un content filter per IRC che vieti la connessione a
canali "strani" e la query di nick non in whitelist. Oppure avere una
interfaccia con cui l'utente apre quella particolare porta sul FW (l'
"interfaccia" potrebbe essere integrata nell'applicativo; qualcuno ha
detto 'silkrope'? - anche se un worm potrebbe provare a telecomandare
l'applicativo mantenendolo invisibile per sfruttare i suoi permessi).
Ma queste sono minacce ancora ipotetiche; la pura e semplice stateful
inspection ti lascia il sedere all'intemperie gia' contro i worm SMTP
che sappiamo esistenti e diffusi.
Leonardo
-- 
"Se e' vero che Linux in se' e' gratis, non lo sono le indispensabili
interfacce grafiche (X, KDE ecc.) che consentono alle persone normali
di utilizzarlo."                    -- Jason Matusow, Microsoft Corp.

una sana politica aziendale nazista
ROFL
Leonardo e i nani in uniforme nera
