Newsgroup: it.comp.os.linux.sys
Titolo: Firewall Live o no

Ho avuto una breve discussione (niente cazzotti in faccia!! :-D) con un
mio "collega", riguardo l'opportunità di avere un firewall
completamente "inattaccabile"..
Secondo lui la migliore soluzione è un firewall funzionante in livecd,
e su questo concordo, in pratica non può essere manomesso e avere
failure dovuti all'harddisk (a meno che non qualcuno non prema il tasto
eject :-P)
Però spesso ho la necessità di fare oltre al puro firewalling anche
content filtering, proxy e anti spam e così via, quindi ovviamente una
live non va bene (anche al livello prestazionale).
Rimane un punto, su cui volevo il vostro parere...
Secondo voi, è sempre meglio avere una piccola macchina con una live a
monte e poi gestire il tutto con un linux tradizionale a valle, o
integrare tutto in una macchina può andare comunque bene (qui si parla
di sicurezza a livelli paranoici, non credo sia sbagliato il concetto
di tenere tutto su una macchina "installata"..)
Inoltre ho fatto una breve scorsa fra le varie livecd/firewall e ci
sono molti esercizi di stile non più mantenuti, le uniche degne di
nota mi sembrano M0n0wall (FreeBSD), LiveCD Router e Devil
Linux...qualche feedback?
Ciao!!!
Qlo

 di tenere tutto su una macchina "installata"..)
Invece IMHO è proprio sbagliato.
Se vuoi parlare di sicurezza a livelli paranoici, allora il firewall
deve essere un dispositivo hardware che fa *solo* quello.
Poi i server con proxy, anti spam etc. li metti in DMZ, ma non in
frontiera.
Il Linux come firewall/proxy in frontiera è un ottimo compromesso per
costi/efficienza/sicurezza, ma *non è* IMHO una cosa per "paranoici".
Considera che una installazione live te la possono compromettere più o
meno quanto le altre, l'unica differenza è che non possono "consolidare"
l'hacking (basta riavviarla e ovviamente è già "ripulita" e pronta a
girare).
-- 
Massimo Bacilieri AKA Crononauta 
ICQ:4005815

 Linux...qualche feedback?
Quando ho affrontato lo stesso problema in una sede prima di acquistare
una appliance dedicata (con supporto e garanzia) ho dato un'occhiata a
questo progetto (italiano):
http://www.endian.it/it/
Anche nella versione community (GPL) ha tutte le funzionalità che ti
servono, firewall con stateful inspection, proxy web con content
filtering, mailserver con antispam ed antivirus...
Per ovviare ai due problemi che hai evidenziato puoi utilizzare due
dischi in RAID1 e montare eventualmente /etc su una unità a sola lettura
(floppy con protezione da scrittura, CDROM).
Se invece ti servisse supporto puoi sempre acquistare l'appliance già
pronta.
Alessio


[HYPERCUT]
Si mi ero espresso male, intendevo che purtroppo il più delle volte è
difficile "vendere" due cose che fanno un lavoro simile ad una che ne
fa entrambi.
C'è anche poca cultura sul campo della sicurezza, e la "gente" tende
sempre più ad integrare e chi proprone soluzioni migliori come
router,firewall e proxy, in macchine diverse viene semplicemente
tagliato fuori perchè costa di più :-)
Quindi tendere ad avere tutto in una macchina a monte è un
compromesso, ma imho soddisfacente.
Il flame che era nato tra me e l'altra persona era sull'inattacabilità
del sistema, ma tu hai centrato perfettamente il nocciolo della
questione, l'attacco può comunque avvenire, ma non è consolidabile,
un reset e torni felice :-)

 tagliato fuori perchè costa di più :-)
E allora firewall/proxy con dischi in raid1 + funzionalità di fax, 
server interno e server di posta come lo vedi?
Mannaggia a chi vuole integrare tutto senza ascoltare i consigli (miei) 
del tipo: "1 firewall a se stante, + 1 server corazzato per fax, mail, 
samba in dmz)
Credo che nemmeno la nasa riesca a tappare tutti i buchi che possono 
presentarsi in così tanti software installati sulla stessa macchina 
evitando che vadano ad attaccare il firewall stesso (sulla stessa macchina).

 completamente "inattaccabile"..
ricordo di aver letto di un'idea x un firewall completamente inattaccabile.
il kernel veniva messo in halt mode, quindi non poteva lanciare altri processi. ma ora non trovo il link nè ricordo il nome
tornando a monte, uo devil-linux e mi trovo benissimo
se hai una chiavetta usb con linguetta di protezione scrittura (il floppy non lo considero...), sei blindatissimo.
ciao

 
Non per molto però, se l'attacco ha avuto successo e non sistemi il bug
che è stato sfruttato per accedere al firewall anche se riavvii dopo
poco tempo l'attaccante è rientrato di nuovo.
Se poi hai un firewall su livecd come fai gli aggiornamenti di sicurezza
del firewall ?
 Gio'
-- 
/*
 * SnB - Qualità informatica - 
http://www.snb.it
 */

 il kernel veniva messo in halt mode, quindi non poteva lanciare altri processi. ma ora non trovo il link nè ricordo il nome
Io ho letto qualcosa di Claudio Panichi, forse su Linux & C.
Questo metodo è classificato come paranoia pura ;-)
Praticamente è un firewall a cui è stato lanciato lo init 0 ma non
viene inviato il segnale di spengimento all'ATX, quindi nessun nuovo
processo, nessun log, nessuna possibilità di aggiornare le regole,
dischi smontati ma il networking funzionante...
Ma la differenza con una live dov'è? Questa è una "dead"!! (battuta
penosa!!!!)


 dischi smontati ma il networking funzionante...
Un firewall senza log non lo farei nemmeno morto.
Ti accorgi che ti bucano solo quando ti trovi il disco da 300gb 
improvvisamente vuoto.

 parte.
Hai vinto.
1-0 per te :)

Alessandro ha scritto:

Bhe questo non sarebbe possibile, "girando" in stato halted non ci sono
demoni attivi "bucabili" ;-)

 
Se ai nat i demoni attivi "bucabili" sono in dmz però


 parte.
Vediamo se ho capito, la macchina avrebbe un solo processo attivo (netfilter)
con funzionalità di logging slegata da syslog, giusto? Ma netfilter di default
dove li manda i log? su qualche device a caratteri o cosa?
-- 
Darwin:
	Il Papa ha ammesso la validita' delle teorie evoluzionistiche di
Darwin.  Anche Cristo deriva dalla scimmia, quindi.  Permangono invece le
forti riserve all'idea che la Terra non sia piatta.
		-- Panfilo Maria Lippi, "TABLOID TABLOID"@"Mai Dire Gol"

Se vogliamo parlare di paranoia pura vi dico quello che faccio io.
Utilizzo due pc, con hw modesto, no hd, lettore cdrom, chiave USB
(proteggibile in scrittura), entrambi i PC sono gateway della stessa
rete.
Avvio una macchina con la mia distribuzione live modificata, regole su
usb, ecc.. ecc.., dopo 15 min avvio l'altra macchina; entrambe le
macchina fanno shutdown ogni 30 minuti, in pratica un attaccante
esterno ha quel tempo per forare la macchina ed entrare nella dmz. A
meno di lacune evidenti tra IPTables e kernel il sistema è
relativamente sicuro, che ne pensate ?

 ha scritto nel messaggio 
news:1159357644....@m7g2000cwm.googlegroups.com...

meno di lacune evidenti tra IPTables e kernel il sistema č
