Newsgroup: it.tlc.gestori.fastweb
Titolo: [GUIDA] Proteggere PC in rete FW

Visto che con programmi elementari come LOOK@LAN è possibile navigare 
nei PC degli utenti della propria città connessi a FASTWEB , 
scartabellando nel disco C come in una rete locale , qui ci sono alcuni 
consigli raccolti in rete per proteggervi da tali situazioni.....
Purtroppo è una situazione incresciosa e al limite 
dell'incredibile......è un pò la stessa situazione delle reti wireless 
aperte , resta quindi responsabilità degli utenti proteggersi contro 
accessi indesiderati.
Vanno disattivati in primis i servizi :
==
- RPC = TCP/UDP porta 135
- Netbios = TCP/UDP porte 137/138/139
- Cifs = TCP/UDP porta 445
- UPnP = TCP porta 5000 - UDP porta 1900
Una volta protetto il sistema, cercate nel vostro computer un file 
chiamato HOSTS senza estensione = Windows infatti ha di norma un altro 
file d'esempio con estensione .SAM (le estensioni sono visibili 
attivando la relativa voce nelle opzioni cartella).
Qualora lo troviate, dovete aprire quel file HOSTS (senza estensione) 
con il blocco note e cancellarne il contenuto, lasciando la sola riga
==
127.0.0.1 localhost
==
e quindi salvarlo.
Disabilitare Netbios su TCP/IP (porte 137-138-139)
Andate nella cartella delle connessioni di rete e, cliccando con il 
tasto destro sulla connessione usata con FastWeb, scegliete la voce 
Proprieta'.
Togliete l'eventuale spunto da Condivisione file e stampanti e scegliete 
Protocollo Internet - TCP/IP e cliccate su Proprieta' -> cliccando su 
Avanzate, accedete al pannello Wins dal quale potete selezionare 
Disabilita Netbios su TCP/IP. Confermate le modifiche con OK nei vari 
passaggi in modo da chiudere le porte 137-138-139 in ascolto sull'IP 
FastWeb.
Disabilitare RPC (porta 135)
Esistono piu' sistemi per proteggere i servizi associati al RPC 
Portmapper -> il piu' semplice, dopo aver comunque applicato la patch 
Microsoft, e' quello di usare il programma 
http://www.grc.com/files/DCOMbob.exe
 per verificare l'applicazione della 
patch e disabilitare i servizi DCOM. E' necessario poi riavviare il 
computer.
Se DCOMBobultator non puo' chiudere la porta (che non è esclusiva di 
DCOM) avvisa che c'è qualche altro servizio che intralcia l'operazione. 
http://www.grc.com/dcom/
, "Closing TCP Port 135".
Chiudere da services.msc questi servizi: operazioni pianificate (Task 
Scheduler) e Distributed Transaction Coordinator e riprovare con 
decombobulator.
Disabilitare Cifs (porta 445)
Anche in questo caso esistono piu' sistemi -> il piu' veloce (ma da fare 
con cautela) e' aprire il registro di sistema (Start / Esegui / regedit) 
e creare/modificare la seguente chiave :
==
* Cartella : 
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\NetBT\Parameters
* Nome : SmbDeviceEnabled
* Tipo : DWORD
* Valore : 0
==
in modo che, riavviando il computer, risulti chiusa la porta 445 su TCP.
Disabilitare UPnP (Porte TCP 5000 e UDP 1900)
Il sistema piu' veloce e' quello di impostare nei servizi in 
disabilitato questi servizi:
Servizio di rilevamento SSDP (SSDP Discovery Service)
Host di periferiche Plug and Play universali (Universal Plug and Play 
Device Host)

 e quindi salvarlo
penso che Spybot Search&Destroy sul trattamento di questo file faccia 
qualcosa in più

Giga ha scritto:

infatti 
http://www.p2pforum.it/forum/showthread.php?t=292396

 consigli raccolti in rete per proteggervi da tali situazioni.....
[..]
Dissento completamente.
Ormai i router ethernet con stateful packet inspection - hardware - 
costano una sciocchezza.
IMHO è folle connettere un PC direttamente all'HAG.
Router/Firewall con un NAT in mezzo, fine. Via i firewall sulle singole 
mnacchine, sono troiate e costringono a microgestire la sicurezza sulla 
singola macchina.
Altro che disabilitare un servizio alla volta ... che 9 volte su 10 se 
in casa hai più di un PC ... TI SERVE.
Router, router, router.
ciao, f.

 Qualora lo troviate, dovete aprire quel file HOSTS (senza estensione) 
Qualora lo troviate ?
LOL cos'e', un gioco a premi ?
sta in windows\system32\drivers\etc
ciao, f.

Cujo ha scritto:

Quoto tutto quello che mi dici , è vero e sacrosanto.
Però , ti dico............
Fai una scansione con Look@LAN e vedrai che la realtà è molto diversa.
Ci sono aziende che hanno i PC in bella mostra....................

 LOL cos'e', un gioco a premi ?
no , la caccia al tesoro
in effetti........suona strano.............. LOL

 Ci sono aziende che hanno i PC in bella mostra....................
... che la situazione media sia disastrosa non posso che concordare. ;)
Non concordavo con la soluzione proposta... non perchè non funzioni (se 
non hai servizi in ascolto, in extremis va comunque bene).
Ma primo: è uno sbattimento, andare a disabilitare I SINGOLI servizi è 
UNO SBATTIMENTO, difficilmente attuabile da chi non ne sa almeno un 
po'... e quelli 9 su 10 hanno già provveduto.
Secondo: se hai più di un PC in casa, è ampiamente probabile che tu 
desideri che i PC comunichino fra loro (share di directory, ecc).
Ribadisco che è meglio - ed anche più semplice - comprare un router 
ethernet tipo Netgear da 50 euro. Gestisci la sicurezza da un punto 
solo, non scleri sulle singole macchine che comunicheranno 
tranquillamente fra loro nella loro LAN e - in aggiunta - non saranno 
vincolate a 10mbit half duplex FRA LORO.
ciao, f.

Cujo ha scritto:

giusto , l'unica cosa che non concordo con te è che togli sempre il 
crosspost...........

 wrote in message 
news:48cce941$1...@news.x-privat.org...
Visto che con programmi elementari come LOOK@LAN è possibile navigare
nei PC degli utenti della propria città connessi a FASTWEB ,
scartabellando nel disco C come in una rete locale , qui ci sono alcuni
consigli raccolti in rete per proteggervi da tali situazioni.....
Esiste un solo ed unico consiglio:
ROUTER-FIREWALL!
Nessun Pc con nessun s.o. deve stare in rete non protetto da un router. 

 
Hai qualche consiglio su marca e modello con wi-fi utilizzabili con collegamento in fibra?

 Router/Firewall con un NAT in mezzo, fine. 
Hai qualche consiglio su marca e modello con wi-fi utilizzabili con collegamento in fibra?

 - Mostra testo citato -
Incuriosito e molto ignorante in materia, ho provato a fare una
scansione con Look@LAN. Ma non ha trovato nulla, al di fuori del mio
pc
E' forse perche sono in adsl Wholesale?

Peronz ha scritto:

no...............
sei attaccato direttamente all'HAG ?
Se si , fai così :
Crea nuovo profilo
Selezioni l'interfaccia
Avanti
Da qui , farà la scansione degli IP della tua LAN , vedendo come LAN 
però la rete Fastweb.
Se invece sei collegato ad un Access Poin od altro dispositivo collegato 
in cascata all HAG allora vedrà i vari dispositivi collegati nella tua 
rete interna...
I PC con netbios attivato sono più vulnerabili alla scansione operata 
con Look@LAN che comunque non opera in modo da scardinare alcunchè , lui 
analizza solamente i computer connessi alla LAN , purtroppo Fastweb è 
vista come LAN dal programma vista la struttura....con tutti gli 
svantaggi che possono esserci.
Ecco perchè è meglio perlomeno disattivare NETBIOS , poi seguire un pò i 
consigli di quel testo che ho trovato in rete...
Oppure i consigli degli altri ragazzi di interporre qualcosa tra HAG e 
PC di casa.

 però la rete Fastweb.
Fatto. Ma vede solo il mio pc. Mi fa una scansione da xx.xxx.32.1 a
xx.xxx.47.255
Che sia l'unico utente fastweb della zona? Abito in un paese di 23000
abitanti.....

Peronz ha scritto:

ROTFL...........no............no credo proprio.............
che stranezza  :-\

 - Mostra testo citato -
E cosa potrebbe essere allora?

Ecco l'immagine: 
http://picasaweb.google.it/peroni.valerio/Varie?authkey=gaKNr66-eq8#5246008322176562594

 Ecco l'immagine: 
http://picasaweb.google.it/peroni.valerio/Varie?authkey=gaKNr66-eq8#5246008322176562594
solo soletto !

 collegamento in fibra?
Io ho un Airport Extreme (Apple).
E' però (relativamente) costoso, l'ho preso principalmente perchè la 
parte wired è tutta gigabit e per la compatibilità con l'802.11 N del 
mio mac book pro.
Nella mia esperienza i Netgear per uso "casereccio" sono decenti, ne 
trovi ben sotto i 100 euro.
ciao, f.

"Giga" I PC con netbios attivato sono piů vulnerabili alla scansione operata
con Look@LAN che comunque non opera in modo da scardinare alcunchč , lui
analizza solamente i computer connessi alla LAN , purtroppo Fastweb č
vista come LAN dal programma vista la struttura....con tutti gli
svantaggi che possono esserci.
O.K. ma, una volta fatto questo, che cosa vedi dei PC che sono in linea?
Giorgio 

 Giorgio 
L'amico di mio cugino dice che arrivi persino a contare i piattelli 
degli hard disk................

 Nessun Pc con nessun s.o. deve stare in rete non protetto da un router. 
** Concordo nel modo più assoluto. **
Anzi, no. ;)
Ci sono ragioni per fare *esattamente* quello che dici di non fare ... 
ma a quel punto, se lo fai di proposito SAI quello che stai facendo ...
Lo ripeterò comunque fino alla nausea: NATtatevi SEMPRE dietro ad un router.
ciao, f.

 Lo ripeterò comunque fino alla nausea: NATtatevi SEMPRE 
con un kleenex HAW HAW HAW HAW

"Cujo" >
 Lo ripeterò comunque fino alla nausea: NATtatevi SEMPRE dietro ad un 
router.
Ma io continuo a non capire:  anche una volta arrivati al nostro hag, non 
siamo protetti da una password?  Non è lo stesso sistema con il quale 
saremmo protetti dietro a un router?
Mi riesci a spiegare in modo semplice qual è la differenza e in che modo un 
router dovrebbe proteggermi meglio?
Grazie, ciao,
Giorgio



Cosa c'entra la password con il transito del pacchetti? Con Fastweb sei
protetto verso Internet, ma non verso la MAN di Fastweb che e' piena di
lamerozzi che altro non fanno se non cercare di entrare nei pc altrui.

 lamerozzi che altro non fanno se non cercare di entrare nei pc altrui.
Quindi và interposto un router tra l'hag e il computer, ma mi spiegheresti 
esattamente le modalità dei collegamenti e in quale modo il router mi 
dovrebbe proteggere?
Grazie, ciao,
Giorgio 

 ** Concordo nel modo più assoluto. **
Dipende da come viene gestito il PC. In assoluto, un router è un endpoint 
TCP/IP esattamente come un PC, quindi è in grado di proteggere od offrire 
punti di ingresso esattamente come un PC. Non è un caso che esistano 
diversi router wifi consumer che usano il sistema operativo Linux, 
disponibile anche per PC.
Quindi in linea teorica l'affermazione è falsa per definizione. Se però 
si sta parlando di "best practice" per gli utenti non esperti, allora 
concordo anche io.
-- 
Conte Frobenius

 ha scritto nel messaggio 
news:48cce941$1...@news.x-privat.org...
Visto che con programmi elementari come LOOK@LAN è possibile navigare
nei PC degli utenti della propria città connessi a FASTWEB ,
scartabellando nel disco C come in una rete locale , qui ci sono alcuni
consigli raccolti in rete per proteggervi da tali situazioni.....
Cosa vuol dire, quando apro Look@lan, trovare due indirizzi  IP  che vengono 
indicati come distanza alla mia stessa LAN?
Grazie, ciao,
Giorgio 

 concordo anche io.
No, l'affermazione è assolutamente vera, se secondo te collegare un PC 
direttamente all'HAG o NATtarlo con davanti un router (hardware o 
linux-based che sia) è la stessa cosa ... prego, pensalo pure, ma sappi 
che sbagli.
CERTO CHE PUOI - in linea di massima - gestire la sicurezza ed il blocco 
delle porte sul singolo PC connesso all'HAG - ci mancherebbe - MA ... 
sei *costretto* a stare molto attento a come configuri la singola 
macchina. Appena accendi un servizio ... è pubblicato.
Se hai più di una macchina, che fai ? Impazzisci su tutte ? Metti un 
firewall software su OGNI macchina ? E poi ... le tue macchine fra loro 
come comunicano ? Scleri con le regole FRA UNA MACCHINA e l'altra ... 
tue ???
E poi, una volta che lo facessi ... spedisci files da un TUO pc ad un 
altro TUO pc a 10Mbps half duplex ?
NAAAH.
E' un nonsense.
ciao, f.

 che sbagli.
Mica tanto. La maggior parte delle infezioni avviene tramite porta 80
---->>> utilizzo del browser. E qui non c'e' router che tenga.

 ---->>> utilizzo del browser. E qui non c'e' router che tenga.
Fonte di quest'affermazione ?
Perchè - al limite - nella mia esperienza la maggior parte delle 
infezioni avviene via email. Ma non mi sogno di farne una statistica.
Quanto al resto, ti ricordo - solo come esempio - il periodo in cui 
giravano cose tipo "code red" e "nimda".
ciao, f.

 ha scritto nel messaggio 
news:6jhl83F...@mid.individual.net...

Mah , io sono connesso ramite router.
Non per sicurezza, ma per connettere i miei multipli pc.
Infatti la base del mio Gigaset Voip, connessa direttamente all 'hag, è 
irraggiungibile.
io sono su una 192.168.1.xxx
WRT54GL Linksys con OpenWRT Kamikaze + interfaccia X-wrt.
Con look@lan (bel programmino) vedo solo la mia rete interna.
Il Firewall del Wrt ha "portforwardate" solo le Tcp e le udp necessarie.
Penso di essere al sicuro 

 Penso di essere al sicuro 
Al di la del fatto che fai i test al contrario ;), probabilmente lo sei, 
dal punto di vista dei servizi esposti sulle macchine della tua LAN *MA 
NON* del gigaset voip, e la cosa potrebbe essere voluta oppure NO. Io ad 
esempio ho un'XBOX 360 connessa direttamente all'HAG, non ho ritenuto 
necessario NATtarla posto che è isolata rispetto ai miei PC e gli unici 
"dati" che continene sono i salvataggi delle mie partite.
Ovviamente questo **NON** ti protegge in alcun modo da virus propagati 
tramite ActiveX su pagine web, email, ecc ...
A questo proposito consiglio sempre un browser decente (io uso firefox), 
un antivirus **tenuto aggiornato** che faccia lo scan in realtime del 
traffico. Io uso Avast, che è free per uso "casalingo", ma ce ne sono altri.
Infine, per le email ... avast fa lo scan anche del traffico SMTP ... ma 
il cervello è insostituibile, qui ...
ciao, f.

 il cervello è insostituibile, qui ...
Hai ragione Cujo,
Il Gigaset non è sotto router perchè è connesso all 'hag anche come  come 
linea telefono fisso che uso come backup.
all 'hag è connesso un adattatore Powerline, che mi instrada la lan al piano 
di sotto dove ho il (i) pc.
lì non ho una presa telefonica vicina, non mi va di passare i cavi, e quindi 
il router lo lascio sotto, con alcune utenze connnesse via lan, altre via 
wi-fi.
In questo modo inoltre non ho bisogno di filtri adsl e menate varie.
Potrei in teoria mettere il router sopra, ma non voglio veicolare segnale 
wifi essendo la zona notte e dovrei tenere almeno 35mW per arrivare bene 
sotto, lo so, il Gigaset è sempre una emissione ma è molto più bassa e in 
modalità "bassa emissione" quando non si chiama, inoltre sotto avrei bisogno 
di un'altro switch 24/7.
Senza contare il fatto che, avendo il DS sono costretto a tenere la rete in 
Wep + filtro mac con un buon rischio (foruna che ho il pulsante on/off della 
wlan e l 'accendo solo quando serve), e che quindi tengo la potenza molto 
bassa, da prove fatte  fuori non arriva nulla (sono in un seminterrato).
Per le prove, è vero le ho fatte al contrario, vorrei farle da fuori, esiste 
un sito o un sistema per provare la propria sicurezza dall 'esterno e magari 
da dentro la rete fasweb?
Oppure direttamente collegando il portatile all 'hag con un software? 
(magari prorio look@lan)?