Newsgroup: it.comp.os.linux.sys
Titolo: mettere in sicurezza la lan aziendale

Ciao,
vorrei mettere in sicurezza la lan aziendale,
sul server Debian LAMP vorrei mettere snort e qualche altro pacchetto.
Il mio obiettivo è evitare che i dipendenti possano sniffare la rete con
ettercap e vedere le password POP3 in transito.
Che precauzioni dovrei prendere calcolando che l'ISP da cui ci forniamo
dà solo POP3?
Sapreste darmi qualche buon link ?
TIA


Un bello switch? Al max un host vede solo il traffico diretto alla sua 
scheda di rete.... (ovviamente parliamo di utenti con normali capacità 
informatiche ;-))

 o cambia ISP.
ok, io potrei mettermi un server con IMAP che scarica posta dal mio ISP
che ha POP3 e quindi all'interno della LAN aziendale transitano questi dati.
grazie per il supporto e la pazienza
:-)

 quindi meglio un HUB no ?
cosi' non devono faticare ?
-- 
Tu hai la tendenza a sentirti superiore alla maggior parte dei computer.

 che ha POP3 e quindi all'interno della LAN aziendale transitano questi dati.
Se vuoi aumentare la complessita della rete ti metti un server di posta 
in casa + un firewall hardware
INTERNET
    |
FIREWALL -- SERVER DI POSTA in DMZ
    |
LAN
Cosi, nella lan non transita il pop3 del server di posta.
Poi forzi la lan ad usare imaps.
Se ti fanno spoofing vedrebbero solo traffico ssl.

 quindi meglio un HUB no ?
no :)
con un hub tutte le porte vedono tutti i pacchetti in transito sul'hub,
quindi il poisoning non e' necessario, perche' quei frame ethernet sono
mandati comunque a tutti (cosa che negli switch non succede sempre perche'
associano mac a porta, spedendo il frame solo alla porta a cui e' associato
il mac di destinazione).
come ha detto nero, con un hub gi faciliti la cosa e basta :)
'ao, S.

 dà solo POP3?
L'obiettivo lo raggiungi installando un proxy pop3 con supporto ssl
(perdition?) su una macchina che si trovi in un segmento diverso da
quello in cui si trovano i client pop3. A livello di switch, potrai
poi aggiungere altri meccanismi per mitigare ulteriormente i rischi
(es: mac lockdown, ip filtering, ecc) ma... dipende dagli switch.
Snort, col preprocessore arpspoof, potrebbe anche esserti utile, ma
non raggiunge lo scopo: su una rete con ip statici, ti avvisa di un
tentativo di arp poisoning, ma non lo impedisce, di per se. In ogni
caso non e' certo una cosa da installare su un server LAMP: lo devi
mettere su di un host dedicato e devi attaccarlo a un porta che gli
consenta di vedere tutto il traffico della lan.
Fabio

 ettercap e vedere le password POP3 in transito.
Scusa, il problema e' migliorare la sicurezza in generale o fare in modo
che le password di POP3 non vengano viste?
Perche' se il problema e' solo evitare di lasciare le password di POP3 (ma
suppongo anche di SMTP) in bella vista, basta costringere gli utenti a
usare CRAM-MD5 per autenticarsi...
Non dimenticare (come pare che invece gli altri che ti hanno scritto hanno
fatto!) che anche con IMAP (che ti e' stato consigliato come
l'alternativa, se ho capito bene), se non usi sistemi "robusti" per
autenticarti, le password viaggiano in chiaro!
Spiego: esistono parecchi sistemi per autenticarsi (e valgono sia per
SMTP, che per POP3 o IMAP!).
Uno, molto usato anche se non capisco perche', consiste nel prendere login
e password e codificarli in Base64.
La decodifica si fa con una riga di PERL e hai username e password serviti
su un piatto d'argento.
Un altro sistema, piu' tosto, e' il CRAM. Di CRAM ne esistono parecchi.
Il piu' diffuso e' il CRAM-MD5, ma tutti alla fine funzionano allo stesso
modo.
In pratica, funziona cosi':
1) il Server ti spedisce una stringa (Challenge)
2) il Client prende la stringa, la codifica con la password secondo un
certo algoritmo "a senso unico" come le password di Unix (quindi puoi
codificare ma NON decodificare!!), gli attacca lo username, crea un Hash
MD5 e lo spedisce al Server
3) il Server spacchetta l'Hash, prende lo username, dal suo DB pesca la
password, codifica allo stesso modo del client il suo Challenge con la
password dell'utente e compara le stringhe
4) se sono uguali, l'utente e' autenticato, altrimenti picche!
Come puoi vedere, NON C'E' nessuno scambio di password in rete, quindi
anche con il migliore sniffer del mondo, la password non la trovi!
E, ovviamente, funziona con tutti i protocolli!
Certo, la condizione assolutamente necessaria e' che il tuo provider
fornisca CRAM come sistema di autenticazione.
Direi pero' che, se non lo fornisce, offre un servizio talmente scadente
che sfanculizzarlo e' quasi un obbligo...
Spero di averti chiarito un po' le idee...
Ciao
Luca Bertoncello
(
luca...@lucabert.de
)
-- 
questo articolo e` stato inviato via web dal servizio gratuito 
http://www.newsland.it/news
 segnala gli abusi ad 
ab...@newsland.it