Newsgroup: it.tlc.gestori.fastweb
Titolo: Come configuro il firewall per evitare i worm.

Ho appena finito di ripulire il pc che si era di nuovo infettato
dall'agabot.
Premesso che ho winxp, ho disattivato la condivisione di tutto, ho tolto
netbios, ho installato zonealarm. Come devo configurare quest'ultimo? E come
di fa a chiudere le porte come suggeriva qualcuno?
Grazie e scusate il disturbo!

Gardus ha scritto:

Scaricati ed installa un firewall + serio.
http://smb.sygate.com/support/documents/spf/spf_download.htm
o
http://www.kerio.com/kpf_download.html
Ovviamente durante l'operazione di cambio firewall scollega la 
connessione di rete.
Per le regole:
Sygate options-Advanced Rules e crei diverse regole:
Blocca 135 Protocollo TCP
Blocca 137 " "
Blocca 138 " "
Blocca 139 " "
Blocca 445 " "
e
Blocca 135 Protocollo UDP
Blocca 137 " "
Blocca 138 " "
Blocca 139 " "
Blocca 445 " "
X kerio stesse regole da creare in
Rete-Filtro Pacchetti
Per tutte le regole la direzione da applicare è al traffico INCOMING(o 
puoi anche mettere x entrambi)

 ha scritto nel messaggio
news:2SIhc.18589$eR5....@tornado.fastwebnet.it...


 puoi anche mettere x entrambi)
Ok ho fatto tutto. Ho messo Kerio. Ci sono altri accorgimenti oltra alle
porte da chiudere? E' normale che mentre per le porte 137 in poi mi dica
cosa sono (netbios) mentre la 135 non mi dica niente? Grazie di tutto!

Gardus ha scritto:

La 135 non l'ha in lista, quindi se vuoi che compaia il nome del 
servizio oltre alla porta devi fare come scritto a questo link:
http://www.kerio.co.uk/supp_kpf_faq_general.html
precisamente alla domanda "How do I block the blaster worm?"
Che in pratica dice di associare il suffisso RPC alla porta 135.
Cmq la 135 è meglio anche che la chiudi oltre a bloccarla,vai su 
grc.com
 
e scaricati le utility consigliate.
Per il resto se hai problemi a visualizzare qualche sito nelle 
impostazioni relative al web disattiva il relativo filtro.
Di regole gia'pronte in giro ne trovi a bizzeffe se cerchi con google.
byez

 Gardus ha scritto:
cut
Ok ora controllo! Grazie ancora!

 puoi anche mettere x entrambi)
Piuttosto che chiudere specifiche porte in ingresso, meglio la filosofia
opposta, ovvero specificare quali porte devono eventualmente rimanere
aperte (per eventuali server che girano sul computer) e lasciare chiuse
tutte le altre.
-- 
Ve lo meritate Gil Amelio!

fabriXio ha scritto:

Non posso darti torto.
Pero'per un niubbio, categoria nella quale rientro pure io potrebbe 
essere veramente troppo..
Molto meglio imho almeno imparare a piccoli passi...

 Molto meglio imho almeno imparare a piccoli passi...
Anch'io non posso che darti ragione su questo, ma secondo me capire bene
i principi generali è proprio il primo passo che bisogna compiere quando
si vuole imparare qualcosa, prima ancora di andare a vedere nel
dettaglio i tecnicismi.
Comunque, sinceramente non conosco i due programmi che hai indicato tu,
quindi non so come si impostino le regole lì, però immagino che
impostare una regola che permetta il traffico sia tutto sommato
equivalente a impostarne una per bloccarlo.
Ciao,
Fabrizio


 ha scritto nel messaggio
news:1gcoynh.15po2czilim6uN%NOS...@inwind.it...


 Avete idea di cos'altro posso fare? Altre porte da chiudere o che so io?
Potrebbe essere un problema diverso, questi 3 file .exe sono stati
riconosciuti dal tuo antivirus con quale nome? Phabot/Agobot/Gaobot o altro?
Saluti.


E' sempre l'agabot. Il discorso è che faccio la scansione completa e non mi
trova nulla, poi ogni tanto salta fuori un nuovo .exe con il worm,
l'antivirus lo trova e lo cancello. Mi domando come facciano ad entrare
questi file!

 questi file!
Dai buchi di sicurezza di Windows e attraverso un firewall mal configurato.
Esistono 2 cose che devi fare per evitare future infezioni, anche perché 
non è detto che il tuo antivirus prima o poi faccia cilecca, es. domani 
esce una nuova variante del worm e tu te la becchi prima che vengano 
diffuse le nuove definizioni per l'antivirus: saresti senza difese.
Le due cose sono, in ordine di importanza:
1 - aggiornare Windows con le patch di sicurezza
2 - riconfigurare il firewall, magari col nostro aiuto.
Per quanto riguarda il punto 1, deve entrare nella testa di tutti che il 
Windows update *non* è un optional, se hai un PC collegato ad Internet e 
non hai mai aggiornato Windows da quando hai comprato il PC o installato 
il SO vuol dire che il tuo PC è una mina vagante ed un pericolo per te e 
gli altri.
E' da irresponsabili non prendere le precauzioni minime di sicurezza 
dettate prima di tutto dal buon senso.
Adesso fa' un bel windows update, installa tutti i pacchetti critici, e 
poi possiamo parlare del firewall.
Nel frattempo suggerisco, a titolo precauzionale, di disabilitare almeno 
il NetBios dall'interfaccia di rete usata per connettersi ad Internet.
Se fai una ricerca su questo NG trovi le istruzioni postate in diversi 
messaggi degli ultimi 2/3 giorni.
Saluti.

 Saluti.
Non sono così ignorante! Ho già fatto tutto quello che hai scritto!! Per il
firewall ho chiuso le porte dicui sopra, ho disattivato il netbios, si vede
che o c'è qualche porta che devo chiudere ce mi manca oppure non so! Windows
xp, antivirus e firewall sono ovviamente già aggiornati! Piuttosto, può
esserci un aggiornamento critico non nel windows update riguardante
l'agabot? Ora vedo con google.
Inoltre ci sono delle domande che il Kerio mi ha fatto, riguardo ai processi
di windows in uscita che ho dovuto accettare altrimenti non andava, mentre
quelli in entrata a parte pochi casi di cui sapevo esattamente che programmi
erano li ho sempre rifiutati.

 erano li ho sempre rifiutati.
Fa' riferimento a quanto scritto qui:
http://securityresponse.symantec.com/avcenter/venc/data/w32.gaobot.aay.html
Saluti.


Ho fatto tutto....vediamo se basta!