Newsgroup: it.comp.sicurezza.varie
Titolo: Help contro Tunneling attraverso Proxy

Saluti a tutto il NG.
Sono responsabile EDP presso un'azienda che ha circa 50 client in rete.
La rete è protetta da Firewall Check Point e un Server Proxy Squid su
Linux.
Gli utenti hanno la possibilità di uscire solo tramite il Proxy sulla
porta 8080 inibendo così la possibilità di utilizzare programmi di File
Sharing tipo WinMX.
Mi sono accorto dai log di Squid che uno degli utenti ha effettuato del
traffico sulla porta 6699 (tipica di WinMX)
COME  HA  FATTO???
Abbiamo anche scoperto che questo utente si è scaricato il programma
HTTP TUNNELLING.
POTREBBE AVER USATO QUESTO PROGRAMMA?
ESISTE UN MODO PER BLOCCARLO?
Ti ringrazio molto per l'eventuale aiuto che vorrete darmi.
-- 
Posted via Mailgate.ORG Server - 
http://www.Mailgate.ORG

 HTTP TUNNELLING.
Innanzitutto vanno bloccate le connessioni ai tunnel-server -> si inizia
a bloccare proprio qualunque tipo di connessione agli indirizzi IP,
in primis proprio quelli free/pay di 
http-tunnel.com
 (contrassegnati con
l'asterisco i server che rispondono al ping) :
==
- 
free1.http-tunnel.com
  [63.218.224.196]
- 
free2.http-tunnel.com
  [206.161.123.164] *
- 
free3.http-tunnel.com
  [38.144.57.194]
- 
free4.http-tunnel.com
  [63.217.29.196]
- 
free5.http-tunnel.com
  [38.144.57.226] *
- 
free6.http-tunnel.com
  [38.144.57.162] *
- 
free7.http-tunnel.com
  [38.144.57.34]  *
- 
free8.http-tunnel.com
  [38.144.57.66]  *
- 
free9.http-tunnel.com
  [38.144.57.98]  *
- 
free10.http-tunnel.com
 [38.144.57.130] *
- 
free11.http-tunnel.com
 [38.144.57.18]
==
- 
paid1.http-tunnel.com
  [63.218.224.195]
- 
paid2.http-tunnel.com
  [206.161.123.163] *
- 
paid3.http-tunnel.com
  [38.144.57.193]
- 
paid4.http-tunnel.com
  [63.217.29.195]
- 
paid5.http-tunnel.com
  [38.144.57.225] *
- 
paid6.http-tunnel.com
  [38.144.57.161] *
- 
paid7.http-tunnel.com
  [38.144.57.33]  *
- 
paid8.http-tunnel.com
  [38.144.57.65]  *
- 
paid9.http-tunnel.com
  [38.144.57.97]  *
- 
paid10.http-tunnel.com
 [38.144.57.129] *
- 
paid11.http-tunnel.com
 [38.144.57.17]
==
oppure puoi bloccare le subnet /24 contenenti tali IP.
Puoi bloccare inoltre le connessioni che provengano da SW User-Agent 
diversi dai web-browser o dalle altre applicazioni autorizzate ad 
accedere al proxy.
-- 
|Ż \/Ż | /Ż\ /Ż__/Ż__|-<|> 
http://planynet.hypermart.net/fastweb
 <|
|Ż|\/|Ż|/Ż_Ż\|(__\__ \-<|> * FAQ 1.5 ITGF it.tlc.gestori.fastweb <|
|_|  |_/_/ \_\___|___/-<|> * SITO: 
http://planynet.hypermart.net
 <|
|>Togli/Remove .INVALID<|> * SITO: 
http://plany.fasthosting.it
 __<|

COME  HA  FATTO???
"tunnellando" la connessione WinMX attraverso la porta 8080.
Ci sono vari sistemi per impedirlo: per esempio si puo' aggiungere in
squid.conf
# Questo forse non ti serve ma a me fa comodone
acl GRANTED     url_regex "/etc/squid.allow"
# Questo forse non ti serve ma a me fa comodone
acl SPAM        url_regex "/etc/squid.spam"
# Questo ti serve
acl DENIED      url_regex "/etc/squid.deny"
e preparare tre file contenenti i pezzi di URL vietati:
\.http-tunnel\.com
Poi metti, ad es.
# La rete locale accede ai siti in whitelist
http_access allow       localnet GRANTED
http_access allow       localnet internal
# Nessuno accede a DENIED e SPAM, la differenza sta nel messaggio
http_access deny        DENIED
http_access deny        SPAM
http_access deny        internal
http_access allow       localhost
deny_info ERR_SPAM_DENIED       SPAM
deny_info ERR_JERK_DENIED       DENIED
Il che ti consente di avere un file ERR_JERK_DENIED dove scrivere "Mi
sbagliero', ma mi sa che tu abbia richiesto un sito che con il lavoro
'un c'entra una segaccia nulla, per lamentele bofh@intranet."
Un altro sistema e' fare la stessa cosa con lo User-Agent - ma quello
si falsifica in un amen - o, piu' drastico, con il metodo CONNECT che
in genere e' quello usato dai tunnel (pero' anche da SSL ecc.).
Leonardo
-- 
"Se e' vero che Linux in se' e' gratis, non lo sono le indispensabili
interfacce grafiche (X, KDE ecc.) che consentono alle persone normali
di utilizzarlo."                    -- Jason Matusow, Microsoft Corp.