Newsgroup: it.comp.os.linux.sys
Titolo: [PACKET FILTERING & PROXING] - How inspect traffic at the top of OSI's stack ?

 -----------     --------
|HTTP Server|---|FIREWALL|--- (INTERNET)
 -----------     --------
Il server HTTP occupa un nodo di rete avente un indirizzo IP assegnato in
RFC 1597, il firewall ha due indirizzi di cui uno come sopra e l'atro
pubblico.
Se arriva una richiesta HTTP verso l'interfaccia del firewall in ascolto su
INTERNET questi con un redirect la passa al server HTTP.
Questo si può fare a vari livelli dell'OSI (tipicamente IP e HTTP)
implementati in IPv4.
Sotto linux ci sono iptable, xinetd, ipfilter, squid... e un sacco di altri
software che possono svolgere questo compito.
Credo inoltre che il kernl di linux possa, attraverso il suo nouovo packet
filter, passare dati nello userspace per essere elaborati arbitrariamente.
Quello che vorrei realizzare (se non esiste già) è un pezzo di software che
faccia l'ispezione dei pacchetti a livelli differenti e che in base a questi
prenda decisioni per salvaguardare maggiormente l'HTTP server (in questo
caso).
Un esempio di moda potrebbe essere code red su IIS.
Se riuscissi ad ispezionare a livello applicativo la richiesta HTTP 1.0 che
fa code red anche senza che IIS monti la patch non si infetterebbe.
Qualcuno ha qualche idea da suggerire ?
Link, doc, qualsiasi cosa.
Grazie

 Qualcuno ha qualche idea da suggerire ?
Piu` o meno:
http://securityfocus.com/frames/?focus=ids&content=/focus/ids/articles/hogwash.html
Piu` in generale, snort "liscio",
-- 
Chiusura di Windows in corso.  Sto dando fuoco al computer... _/Davide\_
Ora si puo` spegnere il computer!  Se ci riuscite...          \Alberani/
Per contattarmi: 
http://digilander.iol.it/alberanid/

http://freshmeat.net/projects/http_filter/

 che soddisfi alcuni requisiti).
Perdonami, ma mi fai troppo ridere!!! :)
Ma come fai a dire cose del genere?? tu che usi IIS??
Se hai queste politiche, allora chi ha installato IIS č un
francotiratore...:))
(oggi sto troppo in tiro)

 Se hai queste politiche, allora chi ha installato IIS è un


 perchè permette di esprimere consulenza ad un livello super partes.
No, perchè se fossi super partes, avresti detto le cose come stanno, IIS è
insicuro se non appaiato ad un content filter.
Ciao
(quota meglio, grazie)

 insicuro se non appaiato ad un content filter.
Benissimo allora capisci che prima di mettere a preventivo un PIX con
Firewall 1 posto sul newsgroup una cosa simile a quella che ho chiesto
Scusa se quoto male ma devo usare autluk con dei font grossi perchè ho dei
prob di vista e neanche a farlo apposta scazza tutto

 prodotti scadenti o intrinsecamente INSICURI non trovi ?
Nessuno piu` difende iis, nemmeno il piu` accanito filo-m$. Tutti i
software hanno dei bug, il bello e` vedere come per i server open source
le patch vengono rilasciate nel giro di ore (vedi l'ultimo expolit su Bind)
e per iis (o anche isa server) bisogna aspettare 15 giorni.
-- 
Vincenzo 
A volte a Lourdes i film muti si mettono a parlare.

 prob di vista e neanche a farlo apposta scazza tutto
Anche io: ho 2,25 e 2,75 di miopia...leggo troppo i docs....

 e per iis (o anche isa server) bisogna aspettare 15 giorni.
è vero, infatti sui server monto linux _quando_posso_

 Anche io: ho 2,25 e 2,75 di miopia...leggo troppo i docs....
se sei un lavoratore dipendente il tuo datore di lavoro è obbligato a pagare
la visiat dall'oculista e relatici occhiali una volta all'anno lo sapevi ?!?

 margine di discussione reale da parte tua - non volevo farti perdere tempo
Guarda, sono tutto, un pirla, un fortunato, un dipendente, un miope astigmatico,
ma non un integralista.
Io ti posso spiegare perchè preferisco vendere gioelli e non bijoutteria, e
questo concetto l'ho portato sempre avanti.
Chi lavora con me lo sà, un paio di società, con le quali abbiamo avtuo questo
discorso, hanno detto che loro invece volevano i bijoux e io gli ho detto:
"siete entrati da Tiffany, cosa ci volete fare??"
La percentuale è al 50%, ovvero uno a detto si e l'altro no...

 a conviverci
E cosa c'e` di peggio di iis nel campo dei web server che abbia una 
diffusione paragonabile?
Io comunque volevo solo dire che non si possono paragonare per 
sicurezza prodotti come iis e Bind. Che poi tu sia costretto
ad averci a che fare e` altro discorso.
Posso giudicare tranquillamente sicuro Bind e insicuro iis. Per storia,
velocita` delle fix, filosofia di progetto ecc.


 velocita` delle fix, filosofia di progetto ecc.
Tu magari si, gente come D. J. Bernstein dice assolutamente no.
BIND lo uso da anni ed č stata una fortuna che internet nei primi anni '90
non fosse ancora affollata da gente annoiata che passa il giorno a fare
cagate.
IIS, per come č oggi, esiste dall'Option Pack 4 credo (il che significa 3
anni e poco piů).

 che soddisfi alcuni requisiti).
Puoi compilare lo script se hai esigenze di velocita' (man perlcc). Se
necessario puoi sempre metterci mano, no?
--
  	Giuseppe "Cowo" Corbelli  -->>  Riding on Linux-2.4.7-xfs
    **ANTI-SPAM** -- **Substitute IHATESPAM with cowo to reply by mail**
  -<! A conclusion is simply the place where someone got tired of thinking. !>-

 anni e poco piů).
A me, che devo implementare sistemi funzionanti, non mi frega niente. Non
sono disposto a perdonare il colabrodo iis solo perche` ha solo 3 anni
(poverino). Cosa gli rispondo al cliente? 'Si` lo so, il server va giu`
ogni 8 ore, ma diamogli tempo, prima o poi si fara`'.
I sistemisti devono far funzionare le cose. *15  giorni* per una patch sono 
tempi da cioccolatai. iis (come tutti i software server closed source) e` un 
errore di filosofia. m$ ha fior di programmatori, peccato che si basino su 
un modello di auditing sbagliato. Non c'e` paragone (almeno in abito della 
sicurezza) tra il modello open e quello closed.


 necessario puoi sempre metterci mano, no?
impararmi il perl non mi interessa, se fosse C o Java qualche cosa potrei
combinare.
Nel caso che fossi costretto a scrivere del software mi appoggerei a
ipfilter perchč č stao fatto apposta per passre in user space la roba che
esce dal packet filter.
Mi č venuto in questo momento un'idea un pņ pazza: compilo khttpd con
qualche modifica che mi permette (almeno a livello HTTP) di ispezionare la
richiesta (aggiungo dei semplici if nella parte di parsing della stringe
HTTP del websrv).
Nel caso che la richiesta si ok mando tutto ad IIS.
Che ne dite ?


 sicurezza) tra il modello open e quello closed.
quante volte un famoso programma open è stato patchato e dopo due giorni
aveva una nuova falla ?

 aveva una nuova falla ?
Ma che dici? Fai degli esempi concreti per favore. I bug sui server open 
source hanno vita breve. Chi sta rompendo le palle a mezzo mondo con
Code Red2 ?
Anche quei cazzoni di m$ hanno fatto una figura da niente:
http://www.newsbytes.com/news/01/168837.html


 aveva una nuova falla ?
..hai dubbi, su cosa in particolare??
Leggiti securityfocus, e la risposta la saprai subito.

 --
poverini, č stato come sparare sulla croce rossa - ma se hai sentito i vari
tg non si parlava quasi mai di M$ ma del coinvolgimento di tutto il mondo
infrmatico.
Solo il tg2 ha detto che il prob. riguarda prodotti M$ (senza dire quali o
cosa facessero)

 Leggiti securityfocus, e la risposta la saprai subito.
me lo leggo al mattino tutti i giorni dopo che ho controllato i log

>>>> "NEXUZ6" == NEXUZ6  <nex...@CUTlibero.it> writes:
[...]
NEXUZ6> detto che il prob. riguarda prodotti M$ (senza dire quali o
NEXUZ6> cosa facessero)
Ciao
Marco

 Grazie
http://www.yahoo.it
 ( FreeBSD )
http://www.virgilio.it
 (Apache )
http://www.altavista.it
 (Linux)
http://www.ibazar.it
 (Apache + Linux)
http://www.tiscali.it
 (Apache + Linux)
http://www.wind.it
 (Apache + Linux)
http://www.fastweb.it
 (Apache)
http://www.hse.it
 (FreeBSD)
http://www.zucchetti.it
 (Apache + Linux)
http://www.dylog.it
 (Apache + Linux)
Basta cosi`?
P.s. Sono tutti siti commerciali, non per forza siti di 'e-commerce'.


 Grazie
Non le fare queste domande.
Il sito di cui mi pregio essere il responsabile die sistemi, usa SOLO soluzioni
open source sul front-end.
Sul back-end si sviluppa in java, l'ambito di test è linux: solo il db di
produzione è oracle su sun.
Ti dò alcuni numeri della mia società, per caprie di cosa parlo: 60 miliardi di
fatturato per quest'anno, a luglio passato abbiamo avuto poco più di 25 milioni
di pageviews.
Ora, tu dirai che non è il calibro che cerchi tu, per legittimare le tue tesi,
ma questo è un problema tuo.
Il vero integralista sei tu.
saluti

 me lo leggo al mattino tutti i giorni dopo che ho controllato i log
Si, io i log li leggo dopo le statistiche delle società di consulenza
informatica che hanno beccato code red, e cercano packet filtering per linux per
proteggere iis, ma con un livello di qualità elevato e basso costo.
Il martedì, qui in piazzale lagosta, fanno il mercatino, forse trovi abiti di
Valentino....

 sendmail
Sendmail? Avrà anche una pessima fama e probabilmente ci saranno altri
sw che lo superano in affidabilità (anche se sembra che come range di
possibilità offerte pochi gli si avvicinino!), ma dire che è
inaffidabile mi sembra, al giorno d'oggi, un discorso tipo "ho sentito
dire che ..."
Sarà anche un solo eseguibile grosso come una casa e che gira come root,
ma nonostante tutto è da un bel po' di tempo che non si sente
dell'esistenza di bachi che lo riguardano....
Ciao
--ev 


lavoro per una di queste ;-)

"kaboom" <kab...@NOSPAM.bah> ha scritto nel messaggio
news:87vgjt9...@aieie.brazorf.net...

scusa, senza polemiche, ma che cazzo stai dicendo ?

 dell'esistenza di bachi che lo riguardano....
della serie c'è bisogno di andare ai 100Km/h contro un muro per vedere che
fa male....

 lavoro per una di queste ;-)
www.ibazar.it
 ??? :)

Guarda che è dall'inizio della discussione che ritengo di avere idee simili
alle tue, e l'unica cosa per cui differiamo (leggendoci) è che tu non hai a
che fare con tutta una serie di problemi che tu dici non avere (come la tua
azienda che vende anche soluzioni M$ o mezza Italia che lo usa).
Io non ti conosco, potresti essere un bravo tecnico o uno eccezzionale - ma
se anche tu, che sei così BRAVO, non ti accorgi che il mercato IT in questo
cazzo di paese non rispecchia assolutamente quello che è la tua realtà non
te la prendere con me.
Io ti ho solo detto quello che è una verità che tu magari nemmeno sapevi
(evidentemente..) ma non vuol dire che io SONO così, io uso soluzioni open
possibilmente ma tutti ormai vista l'età sappiamo che la verità sta spesswo
nel mezzo e che non esiste M$ = TUTTA MERDA come non esiste OPEN SOURCE =
TUTTO ORO.
Questo mio modo di vedere le cose lo si legge fin dal primo post quindi non
sono un integralista IO

 sono un integralista IO
Si, sono d'accordo, sto solo cercando di farti riflettere, e vorrei da te un
parere su dove sia l'errore: pensare che il mercato va in questa direzione a me
disturba alquanto e cerco di remare sempre contro la banale conclusione che
IT=m$.
Capisco che per chi lavora in Zuccheti sia più difficile.

 lavoro per una di queste ;-)
I vostri concorrenti, che trovi nella lista, hanno gia` la versione Linux
dei loro applicativi. E voi?


 dei loro applicativi. E voi?
noi abbiamo solo qualche ricerca su prodotti non ancora pacchettizzabili e
vendibili.
Del resto abbiamo poche persone in ricerca e sviluppo perchè sono tutte in
giro e una cosa del genere ha bisogno di un impegno fisso e non nei ritagli
di tempo.

 Capisco che per chi lavora in Zuccheti sia più difficile.
Io non l'ho detto e cmq non mi interessa farlo sapere in giro.

 mente abbstanza aperta per vedere cosa c'è sul mercato (sarebbe come
E gia`, e` la stessa situazione che vedo io (tramite un mio amico) in
una industria con varie sedi in Italia. Usano Domino+Notes come sistema
di *posta*. Questo mio amico ha cercato di introdurre Linux per svolgere
una marea di funzioni che erano scoperte o venivano gestite in modo pessimo. 
Il risultato e` che gli altri sistemisti lo hanno isolato, lui nella sua sede 
continua ad usare Linux ed in piu` lo chiamano per risolvere i problemi che 
hanno nelle altre sedi. Quindi ha ottenuto un riconoscimento di capacita`,
l'odio dei suoi colleghi ma nessuno che gli abbia umilmente chiesto di
saperne di piu` o di essere aiutato per replicare nelle altre sedi le
soluzioni da lui adottate.


Molto simile a quello che mi è successo prima del mio attuale lavoro, ma io
appena ho inteso l'andazzo mi sono svincolato...


Spero di non doverci arrivare anche perchè dove lavoro faccio un'esperienza
varia ed interessante e riesco a gestirmi alla grande.
La cosa che mi è sempre manacata è un guru.
Io non ho nessuno che ne sappia davvero di *nix a fianco...

 Io non ho nessuno che ne sappia davvero di *nix a fianco...
Su questo gruppo ne trovi tanti...:)

soluzioni da lui adottate.
Ragazzi non bisogna demoralizzarsi.........ora mai sono "vecchio" ed
ho impiegato anni ad imporre alcune soluzioni.
Attenzione: ho scritto alcune!!! La mediazione e' la giusta via.
Nell'ambiente c'e' un un'odio comune e generalizzato vuoi perche' alla
fine ci sono riuscito e vuoi perche' ho saltato diversi ostacoli ma
sapete cosa vi dico? non me ne frega nulla degli altri, si continua a
studiare e ad imparare e dei nostri vicini ignoranti li si tollera
xche' non e' la loro ignoranza che ci puo' mettere in soggezione. 
Del resto il loro "odio" e la loro gelosia nasce proprio dal fatto che
sono loro ad essere in soggezione.
Vi leggo spesso ma non intervengo ma quando leggo ste cose qui quasi
mi commuovo :-))
ciao

 Qualcuno ha qualche idea da suggerire ?
Squid, che e` anche il modo piu` semplice per fare failover e load
balancing del webserver.
-- 
     /kinkie (kinkie chiocciola tiscalinet punto it)
Ed ora, qualche parola dai nostri sponsor:
You can always tell the people that are forging the new frontier.
They're the ones with arrows sticking out of their backs.

 contenuto delle risposte.
Scusa? Mettici un redirettorino in PERL da 30 righe e vedi che ti fa anche
quello :)
-- 
     /kinkie (kinkie chiocciola tiscalinet punto it)
Ed ora, qualche parola dai nostri sponsor:
In specifications, Murphy's Law supersedes Ohm's.

 Il redittorio in perl non lo gestisce...
Come no? Magari serve qualche opzione a configure (non ho i sorgenti
sottomano per verificare).
-- 
     /kinkie (kinkie chiocciola tiscalinet punto it)
Ed ora, qualche parola dai nostri sponsor:
Goto, n.:
	A programming tool that exists to allow structured programmers
	to complain about unstructured programmers.
		-- Ray Simard

switching".
Scusa se intervengo ma questa e' una funzionalita' molto interessante
e vorrei, se ti va, approfondire.
Ti faccio una domanda: stai utilizzando Ipchains per ridirezionare le
richieste dalla porta 80 a quella del proxy squid?
E' vero CISCO ci fa tanto di figo con il marketting pero' e' molto
interessante questa opzione. Io ho sempre utilizzato squid come proxy
puro oppure con ipchains e le features di squid ho fatto del
trasparent proxy ridirezionando tutto il traffico.

 trasparent proxy ridirezionando tutto il traffico.
Si puo` fare.
Ovviamente non si puo` fare contemporaneamente da proxy E da reverse-proxy,
ma per i costi di licenza di squid ci si puo` anche permette di dedicare un
server a fare da reverse-proxy :)
-- 
     /kinkie (kinkie chiocciola tiscalinet punto it)
Ed ora, qualche parola dai nostri sponsor:
I called my parents the other night, but I forgot about the time difference.
They're still living in the fifties.
		-- Strange de Jim

server a fare da reverse-proxy :)
Orbene ieri ho giochicciato un pochino...
Ho provato a utilizzare Ipchains + Squid e il transparent proxy
funziona egregiamente. 
Ho anche provato ad utilizzare iptables e qui mi sono un po incartato
fondamentalmente per un motivo: RH7.1 utilizza ancora IPchains come
packet filtering di default e iptables non va nemmeno a calci oppure
io non sono riuscito a farlo andare. 
Mi interesserebbe utilizzare Iptables con RH 7.1 per ridirezionare sul
proxy server che e' gia' all'interno della rete senza avere l'obbligo
di installare il proxy sulla macchina che fa da gateway.
Qualcuno ha esperienza in merito di IpTables RH?
Bye

 /etc/resolv.conf presente sulla macchina del proxy...
Negativo. Che c'entra dire alla macchina proxy quale e` il tuo nameserver?
[...]
-- 
     /kinkie (kinkie chiocciola tiscalinet punto it)
Ed ora, qualche parola dai nostri sponsor:
Due to lack of disk space, this fortune database has been discontinued.

Negativo. Che c'entra dire alla macchina proxy quale e` il tuo nameserver?
Ti descrivo meglio la situazione allo stato dell'arte
Ho un solo indirizzo IP pubblico da utilizzare. 
La connettivita' e' di tipo dial-up quindi la macchina fa anche da
router tra ppp0 e eth0.
Ipchains occupa di filtrare il traffico tra ppp0 e eth0.
Su questa macchina c'e' un DNS FAKE che risponde solo alle richieste
di eth0 (chi viene da ppp0 non vede il DNS), il server web e' situato
sulla eth0 che naturalmente ha indirizzamento privato.
Squid e' sulla macchina router/gateway e interrogando il DNS FAKE
accede al web server che si trova sulla rete eth0 e lo mostra a chi fa
richieste da internet sull'interfaccia ppp0.
Squid in questo caso risolve i nomi grazie al DNS interno che si
occupa di fornire la cache DNS internet e le zone della rete interna.

 occupa di fornire la cache DNS internet e le zone della rete interna.
Questo e` ovvio, non eri stato chiaro. Pensavo che avessi le idee confuse
su ruoli di redirezione etc.
In realta` il redirettore puo` usare anche indirizzi IP direttamente.
-- 
     /kinkie (kinkie chiocciola tiscalinet punto it)
Ed ora, qualche parola dai nostri sponsor:
We are Pentium of Borg. Division is futile. You will be approximated.
(seen in someone's .signature)

In realta` il redirettore puo` usare anche indirizzi IP direttamente.
Hai mai provato Squirm?
Ne ho sentito parlare molto bene ma non ho mai utilizzato.
Tnks:
n.b.: cmq ho testato le soluzioni e vanno una meraviglia, in
particolare il reverse proxy mi sara' molto utile

 Ne ho sentito parlare molto bene ma non ho mai utilizzato.
Squid e` un software un po' ostico, scritto da persone molto competenti.
Vai tranquillo, quindi.
[...]
-- 
     /kinkie (kinkie chiocciola tiscalinet punto it)
Ed ora, qualche parola dai nostri sponsor:
My brain is my second favorite organ.
		-- Woody Allen

Vai tranquillo, quindi.
Non ho trovato nulla in merito.
Si puo' utilizzare Squid come Reverse Proxy per le connessioni HTTPS?
Ho provato a fare delle zappe....ma nisba
ciao

 Ho provato a fare delle zappe....ma nisba
Si`. Se non ricordo male pero` la versione 2.4 supporta UN SOLO certificato
(quindi un solo sito). La versione 2.5 dovrebbe supportare certificati
multipli.
BTW : siamo in fase di rilascio (se non e` gia` uscito) della versione
2.4STABLE2 e di inizio della fase di feature-freeze di 2.5DEVEL.
-- 
     /kinkie (kinkie chiocciola tiscalinet punto it)
Ed ora, qualche parola dai nostri sponsor:
By one count there are some 700 scientists with respectable academic
credentials (out of a total of 480,000 U.S. earth and life scientists) who
give credence to creation-science, the general theory that complex life
forms did not evolve but appeared "abruptly."
- Newsweek, June 29, 1987, pg. 23

2.4STABLE2 e di inizio della fase di feature-freeze di 2.5DEVEL.
Partecipi nello sviluppo di Squid?
Io utilizzo la versione stabile 2.3 St.4 mi sai dire quando la 2.4
diverra' stabile? Anche se non sembra (xche' scrivo poco) utilizzo
Squid dal '97 ed ho anche scritto alcune FAQ in italiano anche se oggi
non sono piu' on line.....in Italia molti copiano e non citano le
fonti...

 fonti...
Spiace..
-- 
     /kinkie (kinkie chiocciola tiscalinet punto it)
Ed ora, qualche parola dai nostri sponsor:
Running Windows on a Pentium is like having a brand new Porsche but only
be able to drive backwards with the handbrake on.
(Unknown source)