Newsgroup: it.comp.os.linux.sys
Titolo: Privacy Amministratori di sistema

Salve,
Sono più che sicuro che questo argomento sia già stato trattato, ma non ho
trovato nessuna discussione in merito.
Im merito alla questione dei log per adeguarsi alle disposizioni del
garante, si è già detto molto.
In questi giorni mi sto occupando della faccenda e non riesco a trovare
una soluzione valida al fine di evitare qualsiasi possibile alterazione da
parte degli amministratori dei log oggetto di conservazione.
Mentre usando windows si può avere la sostanziale certezza che i log non
vengano alterati, con linux non riesco a trovare un sistema "furbo" per
raggiungere lo scopo. Se io sono l'AdS e imbastisco la struttura di
logging c'è sempre un modo per beffarla.
Qualcuno ha idee in proposito?
Grazie

 Qualcuno ha idee in proposito?
Sì, rileggiti la norma e soprattutto le FAQ e tenta di capire che la norma
non è fatta per questioni di sicurezza ma è solo un modo per dare da
lavorare alle aziende del settore in un momento di crisi.
Io concentro i log centralmente usando syslog e faccio firmare digitalmente
ogni ora da un server esterno.
-- 
Flavio Visentin
Ubuntu in Zulu significa "Non so usare Debian". (cit. CtRiX)

 Qualcuno ha idee in proposito?
Credevo che non ci fosse soluzione che realmente garantisse
l'inalterabilita` da parte dell'amministratore, sia in Windows, sia in
Linux, a meno di non individuare una figura distinta dall'ADS che
predisponga la struttura di logging o l'uso di dispositivi hardware
dedicati e costosi. Insomma che fosse una cosa praticamente
inattuabile (a meno aappunto di non fare grossi investimenti all'uopo)
e che dunque si procedesse normalmente alla meglio.
Andrea

 
Intendi a parte definire come minimo incompetenti i legislatori?
No, io non saprei come proteggermi da me stesso, se decidessi di
barare.
-- 
           |Save our planet!
    Ciao   |Save wildlife!
   roberto |For your E-MAIL use ONLY recycled Bytes  !!
           |roberto poggi   
rpo...@softhome.net

 ni ora da un server esterno.
Grazie per il tuo intervento.
- Ok lo so che di discussioni ci sono state, ma io me ne sto occupando 
ora e a quanto pare nel news non sono più presenti.
- Le FAQ le ho lette + volte, ma la mia intenzione è prevenire obbiezioni 
in caso di controllo, perché molto spesso l'interpretazione è lasciata a 
chi fa questo controllo e se, cosa che con buona probabilità può 
accadere, ti trovi qualcuno un po' antipatico, stai sicuro che a parità 
di condizioni, tu che usi software OSS ti ritrovi anche l'obbligo di fare 
una rettoscopia,  mentre quello che ha tutto "brand" fanno sulla fiducia.
- Sarei molto interessato a sapere come fermare il servizio di logging "a 
caldo" su windows, almeno lo posso sbattere in faccia a chi dico io! 
Questo direi che è l'ostacolo più grande all'eventuale modificazione dei 
log... rimane da dire che non sono riuscito a trovare una applicazione 
che consenta di modificare i file evt in maniera user friendly, 
diversamente da linux dove basta un editor di testo
- Che sistema usi per applicare la firma?
Grazie in anticipo.

A proposito...Come gestite il log degli accessi con dei server SCO?


Su Windows non è impossibile taroccare i log, ma discretamente 
complicato... bisogna essere ben motivati. Su Linux basta un editor di 
testo.


 A proposito...Come gestite il log degli accessi con dei server SCO?
Esistono ancora server SCO????



Purtroppo sì, i nostri clienti ne hanno ancora alcuni :-(


ci sto! ai clienti a cui installo una appliance studiata a questo scopo 
dico onestamente che l'unico scopo della suddetta è per fare contento il 
garante. ma anche che altri si sono messi a posto con un semplice blocco 
di fogli di carta numerati

 A proposito...Come gestite il log degli accessi con dei server SCO?
Che ricordi, il primo *nix dove ho messo le mani. Mi pare fosse sco 5.2 e 
5.4. Avevo nella scrivania a fianco un vecchio sco con 24 mb di ram, sul 
quale si raccontava un tempo lavorassero diverse persone in contemporanea.
Dopo quell'esperienza c'è voluto più di qualche anno perché rimettessi 
volontariamente le mani su una macchina *nix.
La prima lezione su unix si era completata in mezz'ora. Una pagina A4 di 
comandi da digitare per editare con vi i sorgenti e compilare.
Alla domanda di cosa servissero alcuni di quei comandi, cosa fossero sti 
tty ecc. mi hanno risposto: "ti fa cusita e basta". Allora google stava 
per nascere e ad internet avevano accesso solo i boss e "gli anziani".

 - Che sistema usi per applicare la firma?
GPG, sia su Linux/Unix sia su Windows con cygwin. Calcolo l'hash del log,
gli allego gli altri dati del file e un timestamp con l'ora corrente della
macchina e li invio via web ad un server di firma che prende il file,
aggiunge il suo timestamp con le ntpref e genera una detached sign che
restituisce al client. Ovviamente sul server di firma tutto è loggato.


 quale si raccontava un tempo lavorassero diverse persone in contemporanea.
Sei giovane vedo. Io iniziai su SCO con lo Xenix su un clone AT con 4
terminali Ampex collegati a una scheda multiseriale.
Ho ancora i floppy da 5 pollici del sistema e una serie dei manuali.
Una bambolina a chi indovina di chi era il compilatore Basic. 
Ancora prima di quello su un Honeywell X Superteam con Unix. che non avevo
mai visto prima.
La prima lezione fu piu' o meno cosi: "Quelli sono i manuali della macchina,
devi fare una procedura per pilotare via seriale un PLC per gestire un
magazzino automatico".
Volendo possiamo andare anche piu' indietro ma non siamo piu' su *n[iu]x
-- 
Stefano L.

Gasssie!;)

 testo.
Come ti ha gia' fatto notare Zip questa affermazione e' vera solo nell'ordine in 
cui hai i logo del server locale da modificare, quando i log sono ridondati su 
un logserver (e magari anche su un db server come nel mio caso) la cosa diventa 
un po' piu' complicata, quanto meno devi essere a conoscenza della struttura, 
delle relative password e dei metodi di salvataggio dei log.
Rizio
-- 
Si dice che essere liberi significa non avere nulla da perdere... ma la verità è 
che non avere nulla da perdere significa essere pronti a rischiare tutto ciò che 
si possiede.

 metodi di salvataggio dei log.
Ma se sei l'amministratore di sistema, la struttura l'hai messa in piedi
tu.
Io lo so, come è la struttura dei miei log. :-p


 Io lo so, come è la struttura dei miei log. :-p
Si, ma rimane vero quanto ti hanno gia' scritto: non puoi difenderti da te 
stesso se decidi di mentire... a te stesso ;)
Io mi voglio tutelare dagli altri non da me: se io faccio danni sappiamo gia' 
tutti che rimane in azienda fino alle 21 di sera (o peggio) per ripristinare 
tutto.....


 te stesso se decidi di mentire... a te stesso ;)
Ma è la situazione del 90% dei mono-sysadmin, che sono costretti a
mettere in piedi un meccanismo stupido per dare retta ad una norma
bellissima come idea, ma inattuabile.
In realtà è attuabile solo a livello burocratico, tanto per dare a
cesare un contentino formale, ma violabile dal lato sostanziale.
Insomma, del sysadmin ti devi fidare tanto quanto prima, con i log
o senza.


 
Si parla di questo documento?
http://www.garanteprivacy.it/garante/doc.jsp?ID=1577499

 Qualcuno ha idee in proposito?
Tempo addietro diedi un po' di dritte ad un cliente che doveva mettere in 
piedi un accrocco per la gestione dei log in fretta e furia e voleva fare 
tutto da sè, ma io non ho ancora trovato un paio di giornate da buttare 
nel cesso per implementare un sistema serio in azienda da me.
Premesso che IMHO garantire l'inalterabilità di un log da parte del 
sistemista che lo ha archiviato è un caso classico da Teorema di Godel, 
al tale suggerii di fare un hash del file di log (md5 o sha1), archiviare 
il file dopo averlo crittografato e fare un timestamp del hash con uno 
dei servizi a pagamento disponibili o con questo servizio gratuito (di 
cui non conosco la validità legale).
http://www.itconsult.co.uk/stamper.htm
Non so se tutto ciò rispetti gli standard previsti dalla normativa 
(ammesso che esista un modo per rispettarli davvero) ma dà una parvenza 
di sicurezza al tutto.
M

Marius Pontmercy ha scritto:

c'è un software sul sito Sysadmin (BusinessLog) che serve proprio a questo.
In realtà anche io stavo cercando qualcosa di analogo ma che sia 
comprensivo di un minimo di inventario per pc, vorrei evitare di avere N 
applicativi per ogni scopo.