Newsgroup: it.comp.sicurezza.varie
Titolo: Webmail

Salve a tutti.
Ho letto vari thread sull'argomento in questo Newsgroup.
Il problema che mi ha posto la mia azienda č quello di tenere sotto
controllo questo servizio come la posta aziendale, altrimenti di
levarlo....
Esiste qualche possibilitŕ in tal senso...mi dispiacerebbe togliere la
posta privata a tutti!!!
Grazie.
Luca.

 levarlo....
Ehm, cosa comporterebbe il "tenere sotto controllo" (antivirus,
contenimento, etc) ? Che tipo di architettura usi? OWA o altro?
Ciao
Roberto
Posted from X-Privat Free NNTP server - 
www.x-privat.org

 levarlo....
Se vuoi regolamentare una webmail, potresti usare il log di accessi del
webserver e quello dell'MTA.
Ad esempio, facendo un parsing del log dell'MTA potresti vedere tutto il
traffico generato da un dato utente, ma tieni presente che la posta
elettronica e' stata equiparata giuridicamente alla corrispondenza privata,
e quindi monitorarla "in-deep" e' reato penale.
Pero' credo che conoscere solo mittente e destinatario di una mail non sia
un problema; sulle buste, l'indirizzo si puo' leggere, no?
Ciao
Luca

 
Come hanno già fatto notare, tutto dipende da cosa significa "tenere sotto 
controllo". Il nuovo testo unico o "Codice della Privacy" (Dlgs.196/2003) 
prevede che puoi analizzare i log dei tuoi server (di posta, i firewall, i 
proxy o quant'altro), ma non indagare sul contenuto di quello che trasporti 
se non a fini di sicurezza aziendale e comunque "anonimizzando" le tue 
analisi.
Se tenere sotto controllo significa indagare sul contenuto, potrebbe anche 
essere fatto tecnicamente, ma ti ficchi in un vespaio giuridicamente. 
Meglio emettere una bella policy che dica "niente posta privata" (in fondo 
PC e rete sono uno strumento aziendale e pagato dall'azienda).
Se vuoi invece limitare la quantità di corrispondenza, allora andiamo 
meglio. Ma anche in questo caso serve avere una policy che definisca bene 
criteri e limiti di utilizzo.
Un'altra domanda del tutto lecita è "perchè l'azienda vuole limitare la 
posta?". Virus, immagine aziendale, costi, ... meglio fare un'analisi di 
rischio e scoprire se la cura costi più del malanno!
-- 
--
Alex

 Luca
Grazie per la risposta!!!
Ma non ho capito molto bene quello che mi avete detto!!!
1) In che modo posso vedere mittente e destinatario di una mail di
libero?
2) (molto piů grave) che cosa č MTA ???
3) Per finire cos' č OWA ???
Io ho una posta aziendale con Domino (e per quello non ci sono molti
problemi...) ed un servizio internet proxato (wingate) e
firewallato(wingate) dietro ad un router (Cisco 827)....
...č da li che tutti devono passare...
Se l'azienda mi chiede a chi manda la posta quello li e quando , io
devo essere in grado di rispondere ...altrimenti son guai!!
Grazie ancora....
Luca.

 3) Per finire cos' è OWA ???
Microsoft Outlook via web.
Ciao
Luca

 
Il limitare viene dalla paura del mancato controllo su quello che la
gente può fare ... se riuscissi a far avere un rapporto (come quello
che fornisce anche la macchina del fax...) sarebbe il massimo!!!
 
Grazie ancora.
Luca.

 
Come ho detto sopra basterebbe uno strumento tipo rapporto fax, tanto
per dire anche ai dipendenti ...ti teniamo sotto controllo, non
abusare!!!
Togliere deve essere l'ultima risorsa....
Grazie ancora...
Luca.

autorizzazione è grande (anche perchè già successo...)
   Se il dipendente non dovrebbe avere accesso a quei file, e` ora di
pensare a delle policy di rete piu` articolate. Lo dico pensando alle
tante piccole aziende che piu` o meno si organizzano cosi`: "fai un
cartellone condiviso sul server e butta tutto li` dentro."
   Se il dipendente deve avere accesso a quei file per poter lavorare,
e non ha firmato un vincolo di segretezza (che pero`, *credo*, sia in
qualche misura implicito in un rapporto di lavoro) o non e`
affidabile, il problema e` dell'azienda, che ha malposto la fiducia.
Esistono troppi modi per portar fuori dall'azienda i dati sensibili.
   Faccio giusto qualche considerazione estemporanea. Trascuriamo
tutti gli altri possibili sistemi di furto di dati. Ammettiamo che tu
riesca a loggare mittente, destinatario, oggetto, testo e nomi degli
allegati per ogni spedizione di mail avvenuta tramite un qualsiasi
server webmail esistente "la` fuori" (operazione estremamente
laboriosa).
   Cosa impedirebbe, giusto per fare un esempio banale, al dipendente
infido di prendere il documento "segretissimo.doc", rinominarlo in
"compleanno.jpg", criptarlo con la chiave pubblica pgp del
destinatario, codificarlo in base64 e incollare il risultato come
testo nel corpo della mail del server webmail, inviando il tutto a un
indirizzo e-mail usa e getta?
   Non vale l'eventuale risposta: "I dipendenti della ditta non sono
cosi` capaci tecnicamente": se c'e` una spia puo` essere istruita
dall'esterno a fare questo e anche peggio.
   A questo punto dovresti loggare tutti i dati passati ai server web
con metodo "POST", salvo poi riuscire a dimostrare che dentro c'e`
quello che pensi tu, e difenderti poi dalle accuse di violazione della
privacy. Oltre tutto, se utilizzate NAT senza un proxy server, le cose
si fanno molto dure nel caso di server https (connessioni criptate).
-- 
S.L.

 si fanno molto dure nel caso di server https (connessioni criptate).
No no ho il Proxy (per fortuna) 
Allora la strada è risucire ad intercettare il POST di una navigata?
Ne esistono altre???
Sai se esiste qualcosa da montare sul Proxy che faccia tutto in
automatico????
Grazie Ancora.
Luca.

automatico????
   Onestamente non ne ho idea. Oltretutto non so nemmeno che proxy
utilizzi.
-- 
S.L.

 devo essere in grado di rispondere ...altrimenti son guai!!
Con Domino puoi loggare molte informazioni, sia con strumenti standard che
con personalizzazioni ad hoc.
Se ti interessano maggiori info in nerito rispondi a questo post che ti
spiego
ciao