Newsgroup: it.comp.os.linux.sys
Titolo: Web Application security/firewall

ciao, mi trovo in eredita' il compito di amminsitrare un n di web 
server dove ci sono applicazioni stravecchie e strabacate (joomla, 
drupal, wordpress &C).
Si' lo so, bisognerebbe rifare le applicazioni in modo che non abbiano 
buchi, ma la strada non e' percorribile, almeno in tempi immediati.
Esistono prodotti (soprattutto commerciali, es barracuda web app 
firewall, uno della Radware, di Cisco etc etc) che promettono di essere 
in gradi di filtrare almeno una parte degli attacchi o degli abusi di 
cui sono vittima le applicazioni mal scritte). Ci sono anche soluzioni 
os e, ovviamente, c'e' la possibilita' di usare reverse proxy e 
lavorare sulle regole per bloccare url particolari, eccetera.
Qualcuno ha mai sperimentato cose di questo genere? Grazie
-- 
Tinto

 Qualcuno ha mai sperimentato cose di questo genere? Grazie
Palliativi.
Come un'aspirina usata per curare le emorroidi.


Vero, ma aiutano a sgrossare e a ridurre l'incidenza di problemi di una
buona percentuale.
Non mi sbilancio sugli appliance, perchè non ne ho (mi parlan bene dei
Fortinet, ma non ho esperienza di prima mano), ma senza uscire dal
webserver già mod_security fa gran parte del lavoro.
Una cosa che però sarebbe bene l'OP sapesse è che questi sistemi non
sono privi di necessità di tuning: se (per fare un esempio ricorrente)
uno script trasmette pezzi di query SQL via GET/POST, non c'è verso che
l'aggeggio possa distinguere una richiesta lecita da un tentativo di SQL
injection, sicchè si tratta comunque di stargli dietro ad eliminare i
falsi positivi uno per uno fino a quando il tutto non è a regime...
-- 
Paranoia is a disease unto itself. And may I add: the person standing
next to you may not be who they appear to be, so take precaution.
-----------------------------------------------------------------------------
http://bofhskull.wordpress.com/

CtRiX scriveva il 01/09/2011 :

non so perche' ma mi aspettavo questa risposta da te ;)
Il problema e' che non sempre la chirurgia che risolverebbe 
radicalmente il guaio e' possibile :)
-- 
Tinto

 
Carino.. qual'è l'impatto di mod_security a livello di "peso" del sistema?
-- 
Roberto Tagliaferri-Linux user #30785 <-> r.tagliaferri@(forse)
tosnet.it
www.robyt.eu

 sono privi di necessità di tuning: 
ti riporto la frase che ho scritto in una mail interna dove rispondevo 
alla classica domanda "che si fa" posta da un boss ;)
"Da notare che comunque questi apparati non sono “maghi” che si mettono 
sulla rete e salvano da qualsiasi cosa. Richiedono lavoro continuo."
-- 
Tinto

 Carino.. qual'è l'impatto di mod_security a livello di "peso" del sistema?
Dipende solo da che gli fai fare e dalla tipologia (e quantità) di
traffico che gestisci. Difficile fare una stima a priori...


Anche io ho la stessa identica problematica, rimettere a posto costerebbe troppo e quindi mi sono guardato un po' intorno.
A parte mod_security, ho trovato questi due prodotti:
http://openwaf.org/
https://www.ironbee.com/
Non ho avuto modo di testarli a fondo, ma solo di giocarci un pochino.
Fammi sapere se riesci ad farti un'opinione un po' più approfondita della mia

 sulla rete e salvano da qualsiasi cosa. Richiedono lavoro continuo."
Non solo richiedono tuning e controlli continui.
Bisogna attaccarsi un post-it sul monitor con scritto "la coperta è 
sempre corta, questi cosi mi fermano gli script kiddies ma non chi vuole 
fare danni seriamente".
Poi, una volta raggiunta la consapevolezza e l'atarassia dell'anima, si 
può anche convivere con il fatto che quegli oggetti salvano più il posto 
al proprio capo che il sonno al povero sistemista, nel caso uno ci si 
mettesse sul serio a bucarli.

 sulle regole per bloccare url particolari, eccetera.
Oltre a quello che ti hanno gia` suggerito, php ha le patch suhosin, che 
da un pezzo vengono anche integrate di default nelle varie distro.
Puoi provare a configurare un po' di limitazioni li`.
Non sono a conoscenza di blacklist da applicare a un reverse proxy, ma 
logwatch ogni tanto (spesso) mi rileva dei tentativi di hacking delle 
applicazioni piu` conosciute (tipicamente phpmyadmin). Magari riesci a 
mettere su un fail2ban analizzando quelle.
Bye.

 
https://www.ironbee.com/
interessanti, il secondo sembra un bel progettone, solo che " IronBee 
is not ready for users yet.  Currently it is available in a technology 
preview." ;)
-- 
Tinto

 Sorry: NetASQ.
mi sembrava infatti che netapp... ;)
sono andato sul sito ma...
"This service is temporarily unavailable for maintenance.
 We kindly invite you to retry later.
 Thank you for your understanding."
ops :-D
-- 
Tinto

 fare danni seriamente
beh sarebbe gia' moltissimo :)
-- 
Tinto

 Non sono a conoscenza di blacklist da applicare a un reverse proxy
Chissà se 
www.projecthoneypot.com
 può essere d'aiuto al riguardo.
-- 
ValeRyo
XT600 "Katoki Pajama" - 
http://www.slimmit.com/go.asp?7Y9
GamerTag: 
http://card.mygamercard.net/IT/nxe/ValeRyo76.png
 

 serie e i prodotti sono ottimi... :)
mi fido, tornerò a visitarlo domani ;)
-- 
Tinto

 mettesse sul serio a bucarli.
LOL, quanto è vero...

 uno della Radware, di Cisco etc etc) che promettono di essere
Non è perfettamente pertinente alle tue necessità ma ti dico la mia: ho 
preso uno zyxel usg 100 che tra le varie caratteristiche aveva anche quelle 
di antivirus e idp, mi sono pagato gli abbonamenti per due anni sia ad 
antivirus che ad idp, per poi scoprire che non servono quasi ad una 
benemerita cippa.
In pratica hanno database talmente ridotti e poco aggiornati che rilevano 
solo chi usa attacchi/virus vecchi quanto me. Ho scritto all'assistenza e la 
risposta è stata una conferma.
Fortunatamente in ufficio ho allestito varie barriere antivirus: firewall - 
proxy - client, il più viene bloccato dal proxy, il resto dal client, per 
quanto riguarda il firewall mi sembra abbia rilevato uno o due virus da 
quanto è attivo.
Venendo al consiglio inerente alle tue necessità, io cercherei qualcosa da 
installare su un server dedicato e con ampia possibilità di 
personalizzazione e lascerei perdere gli accrocchi hardware che sulla carta 
dicono di fare tutto.
Saluti
Fabio 


a parte il disservizio (che sta creando problemi perchè dal sito si 
scaricano le licenze e c'è un'ottima knowledge base che si consulta 
bene), netasq è uno dei migliori intrusion detection e contiene 
signature anche proprio su joomla, phpmyadmin, drupal, mango etc.
quindi si, è un un aggirare il problema, ma nella tua situazione 
sicuramente apporterebbe dei vantaggi considerevoli.
non sottovalutarlo.

 non sottovalutarlo.
Certo che che bucano(*) anche il sito netasq allora è proprio un bel 
prodotto e se è tra i migliori, come dici, allora è proprio una bella 
categoria di prodotti quella lì(**)!
(*) non c'è altra ragione per cui una azienda dovrebbe fare brutte 
figure. In ogni altro caso, manutenzione programmata che sia o altro, ci 
sarebbe stato un avviso o il disservizio sarebbe durato MOLTO meno.
(**) Se bastasse uno scatolotto in prossimità del router non 
esisterebbero sistemisti ed esperti di sicurezza.

 credo ma tu sembri darlo per certo. Mi sembra un po troppo...
Non ci sono altre ragioni per la quale una azienda che fa sicurezza debba 
avere il sito down da un paio di giorni.
A meno che:
1) siano stati bucati e stanno ripristinando il cluster
2) abbiano fatto manutenzione programmata dimenticandosi di avvertire i 
clienti (e non depone bene)
3) abbiano fatto manutenzione programmata (e sia andato TUTTO storto, 
visti i tempi - e non depone bene)
Qualunque altro motivo tu possa pensare avrebbe richiesto tempi di down 
molto più ridotti soprattutto perchè con quel sito ci fai business, ci 
attivi i prodotti e fornisci servizi.
Quindi se lo tieni giù per così tanto tempo, o sei un incauto 
incompetente (e non compro i prodotti da te che sei il migliore nel tuo 
campo) e non prevedi le benchè minime azioni di recovery oppure è 
successo un casino memorabile e ti sei fatto bucare nonostante avessi 
avuto una catena di netasq uno dietro l'altro.
Tu poi se sei in grado di immaginarti qualsiasi ragione che non getti 
fango su di loro sei il benvenuto.

 avere il sito down da un paio di giorni.
[snip]
Fare il processo alle intenzioni agli altri è sempre un bello sport
nazionale.
Tutto funziona finchè non va storto qualcosa a noi, allora ci inventiamo
le giustificazioni piu sofisticate, compresa l'invasione di locuste e
cavallette.
Come ho detto nel mio primo post, la cosa non è bella ma fosse anche una
questione di stile, mi rifiuto sempre di buttare fango sui fault altrui
se come MINIMO non ne so qualcosa (vedi i casi di stop di servizi
capitati ad Aruba e anche in quei casi la comunicazione non è stata
completa).
Inoltre c'e' da dire che NetASQ sta approntando tutta la nuova
certificazione sull'Os 9 e quel sito di "servizio" potrebbe anche essere
in mano a una società esterna che si occupa di queste cose, essendo il
core business aziendale orientato ai prodotti.
Posso solo portare la mia limitata esperienza dato che ho avuto modo di
toccare con mano il prodotto, la tecnologia e la filosofia di fondo con
la quale si è ingegnerizzato e posso dire che è un ottimo prodotto.
Non basta a giustificare il down di un sito, ma è il down di un sito
(non un defacciamento per dire) e non il down del loro servizi o
l'hacking di un loro prodotto.
-- 
Giocare col mondo, facendolo a pezzi...
Bambini che il sole, ha ridotto gia'... vecchi.

 esisterebbero sistemisti ed esperti di sicurezza.
Anche i sistemisti e gli esperti di sicurezza hanno bisogno di strumenti
che gli sgrossino il lavoro.
Non sempre si ha visibilità su quello che viene installato sui server;
se già si riescono ad eliminare tutte le schifezze già conosciute
secondo me è un gran vantaggio.


 esisterebbero sistemisti ed esperti di sicurezza.
nessuno ha mai detto il contrario. ma se ho un apache vulnerabile e non 
sono riuscito a mettergli una patch (perchè magari ho 100 server e 
questo comporta tempi tecnici, pianificazioni, etc) uno scatolotto che 
mi blocca codice malevolo identificando la vulnerabilità... proprio male 
non fa.
inoltre se uso phpmyadmin e questo ha una vulnerabilità, uno scatolotto 
che se ne accorge e chiude il tentativo, non è male.
se ho 100 clienti che utilizzano 100 phpmyadmin vecchi quanto mio nonno 
ed io non posso costringerli ad aggiornarli ed ho uno scatolotto...
purtroppo alcune considerazioni spesso nascono dalla mancata conoscenza 
del prodotto. fermo restando che la risorsa umana è al primo posto, 
affarini in grado di non fare solo drop o pass di una regola possono 
portare dei benefici. netasq si basa molto sul controllo protocollare, e 
ciò che non è rfc compliant viene droppato, risolvendo di fatto 
un'innumerevole mole di attacchi (per l'appunto "protocol modified").
Ovvio, non risolve il 100% dei mali, nemmeno il 70, ma nel caso dell'op, 
specificatamente a quanto richiesto in topic, è la macchina che 
probabilmente più aderisce alle sue esigenze.
poi ovvio: la terra è rotonda, non ci sono più le mezze stagioni e si 
stava meglio quando si stava peggio. :)

 nazionale.
Io di solito non lo faccio ma ho una avversione molto *particolare* nei 
confronti di chi produce roba orientata alla sicurezza di questo tipo.
Avversione che si accresce quando un "commerciale" prova a venderti la 
roba dicendo che se lo compri sei in una botte di ferro.
Che sia un ottimo prodotto ci posso anche credere.
Che serva a qualcosa oltre a quello che fa, ad esempio, mod_security con 
manutenzione, ci credo poco.

 Mentre parliamo il sito è tornato online...
Ma anche no.

 parte e i server di update dall'altra.
Si, la mia deduzione era puramente *magica* e tuttora non ci vedo altre 
ragioni.
Molti scarpari che conosco hanno 2 servers che si ridondano per problemi 
hardware, figurati se loro non ce l'hanno.
Io ragiono in maniera differente da voi perchè, nel 99.9% dei casi, tutto 
quello che finisce sui server che gestisco è roba controllata (tranne 
roba recente) e il restante è roba di cui tengo traccia e so quando devo 
aggiornarla. Sarà questa differenza che non mi fa concordare con quello 
che dite voi.
Sia chiaro che non ho nulla contro NetAsq in particolare ma contro la 
categoria di strumenti in generale e lo ribadisco una volta per tutte:
1) quelli sono strumenti che nel 90% dei casi non servono a nulla e 
servono solo a dare false sensazioni di sicurezza a chi li usa. Sono 
pochi quelli che conosco che di questa cosa sono consapevoli e la 
stragrande maggioranza della gente si limita a mettere quei cosi davanti 
ai webserver col risultato che poi ti bucano lo stesso.
2) l'unica volta che me ne hanno messo uno davanti ai webserver di un 
cliente, dopo un mese l'hanno eliminato perchè erano più i problemi che 
dava di quelli che risolveva.
3) giusto come testimonianza, un mio conoscente ha messo uno di quei cosi 
davanti ai webservers e credeva di vivere in una botte di ferro. DUE 
SETTIMANE e gli hanno bucato tutto perchè sono passati da HTTPS (che lui 
aveva ignorato) e che quei cosi non gestiscono.
Inoltre, sarò talebano, ma avere 100 PHPmyadmin su un server vuol dire 
sostanzialmente che chi fornisce il server non fornisce tale strumento 
uno e che i clienti si sono arrangiati mettendoselo da soli.
Ciò significa che il problema non è lato-cliente ma lato fornitore perchè 
fornire un php-myadmin centralizzato non è assolutamente un problema e 
non è un problema nemmeno aggiornarlo per 100 clienti.
E non è nemmeno difficile andare di find/grep per scovare chi l'ha 
installato e mandargli una mail per disattivarlo o obbligarlo, almeno, a 
metterci un htpasswd.
Il mio approccio è sempre quello di aggredire il problema e risolverlo 
alla base, non attenuarlo e mitigarlo, per poi dimenticarlo fino a quando 
rispunta.

 negativa dello stop.
Aruba pure loro, allora !?

 alla base
penso che siamo tutti d'accordo che sia l'approccio migliore.
Purtroppo non sempre e' possibile, anzi, temo sia la condizione piu' 
frequente. E, alla fine, si sa che decide chi paga. Nel mio caso di 
impiegato di serie B i poteri decisionali sono minimi.
-- 
Tinto

 ha credenziali ftp e del DB.
E' il pezzo del find_/grep che hai tagliato senza commentare la 
soluzione...
Se il cliente lo installa, tu lo avverti e gli dici di disinstallarlo o 
di proteggerlo e gli ricordi che il servizio c'è già.
Il problema fondamentale comunque sfugge ancora a tutti:
A) se la macchina è tua e ci metti roba controllata o comunque la tieni 
aggiornata ed altri non hanno accesso, quei cosi non servono a niente.
B) se hai una macchina dove fai hosting e ci metti un netapp o un coso 
simile, non ti risolve il problema del cliente che via FTP carica sul 
server quello che vuole e ti buca la macchina.
O peggio ancora, non ti risolve il problema del bot che ha inculato le 
credenziali FTP all'utonto di turno (*2)
Quindi, nel caso 
A) si tratta di una macchina in più da gestire (bene) che perl non serve 
a molto e
B) si tratta di una macchina in più da gestire (bene) che comunque fa le 
veci di una coperta corta. 
Comunque la giri, per me quei cosi sono una GRAN perdita di tempo (e 
soldi).
(*1)(*2) Giusto oggi ho messo le mani su un server di un nuovo cliente 
che si lamentava della lentezza della macchina.
[admin@srv ~]$ uname -a
Linux srv 2.6.23.17-88.fc7 #1 SMP Wed May 14 23:58:02 EDT 2008 i686 i686 
i386 GNU/Linux
Il php è un 5.2.4 che yum vorrebbe aggiornare.
Poi che dirti, FEDORA 7 ... gmome ... xorg ...
perl 5.8.8, httpd 2.2.6
---> proftpd-mysql-1.3.1-2.fc7  PAZZI!!
Ora, non per mettere il dito nella piaga, ma se questi avessero un netcoso 
davanti a questo server credo che servirebbe MOLTO a poco.
Chi gli gestiva questa macchina dovrebbe semplicemente finire in galera 
(e non dico il nome del cliente, piuttosto rinomato, per altro)

 B i poteri decisionali sono minimi.
Tu basta che sia consapevole che delle funzionalità e soprattutto dei 
limiti di quei cosi.
E soprattutto fai di tutto, come ti dicevo l'altra volta, che il culo che 
salta non sia il tuo, in caso di problemi, solo perchè il capo ha deciso 
di comprare uno di quei filtri invece di risolvere i problemi veri e tu 
ne sei il responsabile.

 uno e che i clienti si sono arrangiati mettendoselo da soli.
Su ogni webserver che gestisco c'� un phpMyAdmin e un phpPgAdmin.
Ogni tanto capita che la webbaggensi di turno invece di leggere la
documentazione o chiedere lo installa nello spazio del cliente e poi lo
dimentica l�.
Chiaramente l'url � /mysql, oppure mysql.dominio.tld e cos� via.
Un coso (che io neppure ho, parlo in generale) che blocca un attacco
conosciuto mi risparmia un po' di lavoro, consentendomi di dedicarmi
ad altro. Nello specifico, in questo momento, a capire perch� la SuSE
abbia personalizzato il kernel in modo che la 8.3.9 del drbd non si
compili.


 personalizzato il kernel in modo che la 8.3.9 del drbd non si compili.
Fino a quando il coso non bloccherà un attacco nuovo per cui non si è 
ancora aggiornato e questa piccola leggerezza ti creerà più casini ancora.
find /mnt/siti-webagensi/ -type f -name <pattern-spacifico> -exec /usr/
local/sbin/notifica-l'idiota-per-eliminare-phpmyadmin {} \;
Finito.
Mi ridedico a drbd e con gli Nmila€ risparmiati ci faccio un corso di 
kernel-hacking.

 nel dettaglio.
Come si faceva notare, seil problema è realmente sentito a livello corale, dai
responsabili alle funzioni di security e di operation, probabilmente non c'è
bisogno di un UTM off-the-shelf, perché si sono già prese le misure del caso,
dal controllo del codice all'implementazione di set di regole verificate e manutenute
per mod_security ed affini. Voleva essere questo il senso dell'intervento di CtRiX, suppongo.

 CtRiX, suppongo.
Esatto.
E se non si sono prese le dovute contromisure, quei cosi tamponano il 
problema ma non lo risolvono per nulla.
Se proprio devo dedicare del tempo a qualcosa, meglio dedicarlo alla 
soluzione del problema, non ad un tampone. Ci risparmio pure soldi, pensa 
un pò.

 appositi che vengono popolati continuamente.
E' qui la chiave del discorso e che ci fa divergere.
Secondo te, un database di exploit noti è sufficiente a garantire 
protezione.
Secondo me, invece, un database di exploit noti non fornisce nessuna 
protezione in più di una accorta manutenzione delle macchine o dello 
strato software.
Questo perchè nell'insieme degli exploit, quelli noti rappresentano un 
sottogruppo molto limitato e assolutamente trascurabile dell'universo 
degli exploit.
Questo perchè chi ti vuole fare male non utilizza exploit "noti" ma ne 
usa di "non noti" e quindi le contromisure da prendere sono di altro tipo.
Perchè lo scatolotto mi deve dire che ho un proftpd vecchio e bacato ?
Leggo l'advisory, mi arriva in email, e lo aggiorno su tutte le macchine 
con apt. Sono 5 minuti per risolvere completamente il problema e non ho 
speso soldi per la scatola.
E se ti affidi al netcoso ti ritrovi a forza di compilare DRBD con una 
fedora core 7 che non aggiorni da 3 anni, tanto hai la protezione.
Secondo te, un coso di quel genere ti fa risparmiare tempo e ti fa vivere 
più tranquillo.
Secondo me, invece, mi da spendere soldi per informarmi su aggiornamenti 
che comunque dovrei già sapere di fare e non mi fa vivere tranquillo fino 
a quando non ho risolto il problema e ho fatto gli aggiornamenti.
LA FORTUNA E' CIECA, MA LA SFIGA CI VEDE BENISSIMO.
Preferisco andare sul sicuro che affidarmi a delle black box.

 kernel-hacking.
Quello serve comunque :-)


 Preferisco andare sul sicuro che affidarmi a delle black box.
Ho l'impressione che tu veda questi apparecchietti come delle
macchinette configurate e dimenticate lì, mentre dietro c'è (o
almeno dovrebbe esserci) un team di esperti che scrive gli
aggiornamenti.
E visto che non sono né onnisciente né onnipotente, e purtroppo
non ho neppure il potere di allungare a piacimento le giornate,
se posso comprare un po' di competenze altrui non mi dispiace.


 ancora aggiornato e questa piccola leggerezza ti creerà più casini ancora.
io penso che non si debba parlare di cose che non si conoscono.
che si parli di un film, di una donna o di un firewall, non fa differenza.
Ecco come ragionano "quei cosi" (nella fattispecie netasq lo fa in 
maniera estremamente approfondita, ma in maniera sua anche fortinet, 
anche astaro, anche juniper e via dicendo):
Una parte degli attacchi (si stima ben l'80%) sfrutta anomalie 
protocollari o forzature protocollari.
se il protocollo FTP è così, perchè l'RFC ha stabilito che sia così, 
qualsiasi cosa che non è RFC compliant è automaticamente bloccata.
- Se parti da questa logica, hai scremato l'80% degli attacchi che non 
fanno altro che alterare il protocollo stesso o trovare delle falle in 
esso, a partire dai vari buffer overflow di turno. A prescindere dal 
*SE* sono NOTI oppure no. Qui non parliamo di stringhe note, attenzione.
Parliamo sempre di FTP.
- Se a questo aggiungi un apparecchio che dopo aver controllato che il 
protocollo sia compliant, ti blocca il bimbetto che mette i vari 
caratteri % e recursive path, hai scremato ulteriormente.
- Se a questo ci metti un apparecchio che blocca automaticamente i 
comandi FTP non noti, hai scremato ulteriormente.
- Se a questo aggiungi che magari l'apparecchio è in grado di rilevare 
gli attacchi di bulletFTP, di IIS FTP o di vsftpd (SOLO qui intervengono 
le stringhe di attacchi noti) che per milamotivi non hai aggiornato, hai 
scremato ulteriormente.
Ovvio, se metti root 12345 come utente, l'apparecchio non fa miracoli. 
Ma schifo ti fa che ti abbia scremato i milamila bimbiminkia, portscan, 
etc..?
Ora prendi l'esempio dell'FTP e moltiplicalo per altri 70 protocolli 
applicativi.
Poi moltiplicalo per i protocolli di IP e poi aggiungi a questo delle 
altre features, antiportscan, anti DoS, etc.
Non ti sto convincendo a comprarlo, ma ti invito a parlarne con 
cognizione di causa. E per cognizione di causa non intendo accenderlo e 
buttarlo dopo 2 settimane. Ma provare a capire come funziona.
Inoltre non serve solo dall'esterno verso la DMZ, ma anche dall'interno. 
Bloccare skype over SSL non è male senza metter mani sulle macchine, ad 
esempio.
Ti invito, inoltre, a valutare un altro aspetto. Spesso le aziende sono 
"alle pezze" da un punto di vista di sicurezza. Desktop remoti 
pubblicati con password indecenti, nat 1:1 su server dove serve 
solamente la porta 80, DVR senza password con n milioni di telecamere 
aziendali barbaramente pubblicate al mondo... ora, diciamoci la 
verità... almento un affare al centro della rete ti aiuta a metter su 
due policy in croce e a gestire meglio situazioni folli. Non credi? O 
meglio niente? Mica tutte le aziende hanno l'ufficio EDP con 40 persone...
IMHO eh.

 Una parte degli attacchi (si stima ben l'80%) sfrutta anomalie protocollari o forzature protocollari.
Uhm, sarei curioso di vedere i dati raw da cui tirano fuori questi numeri.

 Bloccare skype over SSL
E a che layer mi blocca skype over ssl, esattamente?


Chiediglielo, io non lavoro per NetASQ. Mandagli un'email.
Tra l'altro è uno dei pochi appliance in grado di farlo a livello 
ispettivo, gran parte degli altri richiedono l'installazione di un 
software lato client.

Io riuscivo a farlo con le policy di Active Directory :-)

 Io riuscivo a farlo con le policy di Active Directory :-)
si certo, ovvio. ma le GPO intervengono comunque sui client! :)
Qui invece parliamo di operazioni a livello di rete. Un firewall che non 
sa cosa sta dietro e costa sta avanti a se.

 Ancora di più.
Perché, avere entrambi non si può?
Lo scatolotto *e* i sistemi aggiornati?
Io so già che a lungo andare troverò un osCommerce bacato o un
Joomla del paleolitico da qualche parte...


 persone...
E' esattamente questo il motivo per cui in Italia siamo così indietro.
Giriamo con le pezze al culo e quando ce lo fanno presente, sostituiamo 
le pezze con altre più colorate.

 comprare un po' di competenze altrui non mi dispiace.
E' esattamente così che sono utilizzati.
Forse tu e SAP siete tra i pochi che li installano e che ci passano le 
giornate a controllarli.
La mia visibilità sui quei cosi è che sono plyg&play, plug&pray e io 
arrivo quando li hanno già spianati e ci sono passati oltre.
Non mi convincerete mai della loro utilità.
Hanno dei campi applicativi molto limitati come, ad esempio, a protezione 
di macchine legacy che devi per forza esporre e sulle quali un sistemista 
comunque non potrebbe fare molto perchè non ci sono più aggiornamenti.

 comunque non potrebbe fare molto perchè non ci sono più aggiornamenti.
...o situazioni un cui, per quanto le macchine siano di per sè
aggiornate, gli applicativi web in esecuzione sono installati da altri,
normalmente beoti punta-e-clicca che non hanno la più pallida idea di
cosa significhino metà dei termini che hai usato sopra (a partire da
"legacy") e che tuttavia si vende ai propri clienti come tuttofare
esperto di informatica e web.
Benvenuto nel magico mondo dei webhoster... :-\
-- 
Paranoia is a disease unto itself. And may I add: the person standing
next to you may not be who they appear to be, so take precaution.
-----------------------------------------------------------------------------
http://bofhskull.wordpress.com/

A farlo in base all'indirizzo IP sono buoni tutti :-P
Come fai se hai un DHCP server?

 DHCP server?
Parsi i log del DHCP e ti regoli di conseguenza.

 giornate a controllarli.
No aspé, io attualmente non ne ho neppure uno.
Li ho usati (non troppo) e ho presente una serie di situazioni in cui
mi sarebbero (e sarebbero stati) utili.
Però dipende come al solito dall'ambito applicativo e dalla situazione,
ognuno ha esperienze diverse.


 ognuno ha esperienze diverse.
Io ora per esempio ho la necessità URGENTE di bloccare il doodle perchè 
c'è gente che ne sta abusando ascoltandolo continuamente... e mi trovo 
nel conflitto di interessi che colui che abusa del doodle sono io e 
quindi non lo blocco.
Nemmeno il netcoso mi aiuterebbe ...

 credenziali FTP all'utonto di turno (*2)
secondo me sfugge a te la possibilita' intermedia
C) la macchina è "tua" nel senso che e' della tua azienda che la usa in 
esclusiva. Pero' non puoi garantire che ci sia solo roba controllata 
per varie ragioni: gli sviluppatori non sono sotto il tuo controllo, se 
anche fossero sotto il tuo controllo non hai tempo per guardare a 
tutto. Non puoi neanche fare gli aggiornamenti dei software di base 
perche' rischi che si blocca tutto perche' nessuno ha tempo di testare 
se le cose vanno anche con le nuove versioni/configurazioni. Non hai 
modo di controllare bene gli accessi perche' ci devono lavorare dei 
consulenti e uno vuole entrare da remoto cosi', l'altro cola', il terzo 
chissa' come e tu non hai l'autorita' per dire "si fa come dico io e 
basta"
La mia situazione e' sicuramente la C e, credo, sia quella in cui si 
trova la maggior parte di noi.
In sostanza... quando vado in bici e in moto il casco lo metto anche se 
so che non mi salva nel 100% dei casi. Poi cerco di non cadere ma il 
casco lo metto.
-- 
Tinto

CtRiX ci ha detto :

avete ovviamente curato anche la sicurezza a layer 
2 assicurandovi che a quell'ip corrisponda il 
computer che amministrate e non il portatile del 
furbetto che si e' attaccato copiando la 
configurazione di rete vero? ;)
-- 
Tinto

 aggiornare.
e' che questi casi sono -se non la maggioranza- una 
corposa minoranza...
-- 
Tinto

 casco lo metto.
*Si ma tu sei in una situazione in cui vai in bicicletta col casco senza 
sellino.*
Lo sai il tubo dove finisce no ?


nonchè il caso dell'OP. giusto per cercare di rimanere in topic.

 nonchè il caso dell'OP. giusto per cercare di rimanere in topic.
Il caso dell'OP è patologico e non si cura con un netcoso.
Si cura pianificando le policy di sicurezza, non facendo finta che 
qualcuno ci stia pensando.

 Lo sai il tubo dove finisce no ?
meglio rompersi solo il cu che il cu E la testa :D
-- 
Tinto

 Chiediglielo, io non lavoro per NetASQ. Mandagli un'email.
So kind.

 Io riuscivo a farlo con le policy di Active Directory :-)
Imbrogliando il client, quindi, che è un'altra cosa.

 che iptables ha il grosso limite di lavorare solo fino al layer 4
Che è il mestiere di un firewall classicamente detto, a rigore.
E comunque non è vero: con l'accodamento in userspace puoi fare un po' quel che ti
pare, a patto di sapere cosa fare. :)

 
Lo sto provando e in effetti è parecchio filtrante.. Che una variabile id 
passata via get sia un tentativo di sql injection è un po' troppo..
-- 
Roberto Tagliaferri-Linux user #30785 <-> r.tagliaferri@(forse)
tosnet.it
www.robyt.eu

 passata via get sia un tentativo di sql injection è un po' troppo..
Occhio che quello dipende tutto dal ruleset che gli carichi, eh.
Nulla ti vieta di dargli in pasto un ruleset che sega tutto...



si si.. ho preso quello "consigliato" sul sito, messo in modalità audit e 
praticamente gli da noia qualsiasi cosa
