Newsgroup: it.comp.reti.locali
Titolo: Firewall: SW vs HW!

In un mio precedente thread è uscita questa domanda:
Perchè il senso comune dice che i firewall hardware sono più sicuri di
quelli software?
La mia opinione è la seguente: è vero che un firewall hw non ha sotto di se
un sistema operativo e quindi dei driver e un kernel di così pubblico
accesso da rendere la ricerca di falle più semplice.
Il firewall hw invece ha una programmazione firmware più elementere e più
semplice che lo rende quindi più sicuro.
Al contrario, il compito di un firewall non è molto complesso, anzi...
alquanto elementare (packet filtering... ecc...) e la programmazione di un
firewall (che essa sia nel firmware di un hw o in una applicazione sw) è
talmente semplice da escludere evidenti bug. Piuttosto, esso deve resistere
a certi attacchi che vanno oltre gli errori di programmazione.
A difesa di un firewall sw, ci sono cose che un hw non può fare, questo è
evidente. Riprogrammare un sistema sw è più semplice e la sua estensibilità
è senza limiti (es. tenere traccia di certi tipi di accessi o operare in
modo diverso in situazioni particolari...).
Allora, sapendo che è umano errare ed esistono bug in entrambe le versioni,
perchè non scegliere un firewall software?
Ma ancora più importante: quanto vale di più un firewall hw? (una ferrari è
meglio di una fiat, ma in certi casi la scelta migliore è una fiat... non è
solo una questione di soldi!)
PS io non sono di parte, credo che come sempre la verità stia nel mezzo.
PPS la mia domanda è puramente teorica... confrontando tra loro il miglior
firewall hw e quello sw non ci darà una risposta.

 modo diverso in situazioni particolari...).
Riprogammare un sistema firewall hardware è semplice se lo sai fare, è
difficile se non sai neanche da dove partire.
Le scelte che si fanno in virtù di un sistema hardware piuttosto che
software
sono molteplici:
1-Sistema operativo nato e studiato appositamente per far quel lavoro
2-Interfaccie fisiche nate e studitate per quel lavoro specifico.
3-Ingombranza ridotta (non serve un monitor, una tastiera, un mouse) e
può essere chiuso in un rack al sicuro.
4-Possibilità di alimentatori rindondanti e configurazione rindondata
su una seconda macchina configurata pariteticamente.
5-Upgrade più facili perchè mirati a quell'applicazione.
Un sistema software molte volte si sceglie (e mi sembra il tuo caso) per
la semplicità di configurazione sotto alcuni sistemi operativi (vedi
win200 server
ed ISA).
Poi non ti nascondo il fatto che anche sistemi come quelli di Cisco 
abbiano dei bugs.
Altro discorso è quello del monitoring dell'attività del router /
firewall
sono d'accordo con te che interfacciare un'apparecchiatura con un
sistema
software è molto più comoda che non effettuare il monitoring sulla
stessa ma
questo non esclude il fatto che l'apparecchiatura hardware ci sia:
Comunque non ti voglio assillare: tu hai le tue convinzioni (condivise
da altri) ed
io ho le mie (condivise da altri).
Ognuno usa quella che gli è più comoda e che è convinto sia la migliore.
Bye
Herman
-- 
Posted via Mailgate.ORG Server - 
http://www.Mailgate.ORG

 Ognuno usa quella che gli è più comoda e che è convinto sia la migliore.
Non è una questione di comodità.
Ricordati, la soluzione sta sempre nel mezzo.
(Mi spiego meglio, in certe situazioni è meglio un fw hw, mentre in altre un
sw.
Scoprendo, tramite questa discussione, i pro e i contro sono sicuro di saper
fare una scelta adeguata.
Ti do un consiglio... non assolutizzare le cose)

> Ti do un consiglio... non assolutizzare le cose)
Ti di un consiglio: impara IOS Cisco e poi capirai !!!
Tutto quello che fa il tuo bel microsoft sarà anche bello e colorato,
funzionante
e semplice come dici tu ma si trova ad un livello della pila osi alto:
prova a scendere di livello e buttarti in mezzo dal livello 1 al 4 di
persona:
fai quello che fanno gli ingegneri non fare quello che fa un utente:
Cresci professionalmente. Cliccare due finestrelle che qualcuno ha
porgettato è più
semplice che progettare.
E' solo un consiglio poi fai un po' come ti pare... a me la vita non
cambia
a te può cambiare !!! :-))
ciao e addio !!!


 e semplice come dici tu ma si trova ad un livello della pila osi alto:
Siamo da capo, perchè devi degradare una discussione?
Mi spiego per l'ultima volta...
Smettila di categorizzare le persone!
Tu non sai neanche chi sono e cosa conosco... mi pare di aver avviato un
interessante discussione, dove confrontandoci possiamo solo cresece (scusa
se ti rubo le parole).
Se però invece di una discussione vuoi fare un monologo posta un messaggio
intitolato: "I firewall hardware sono il meglio... io vi spiego perchè!"
Questo è un gruppo di discussione... e credo che tutti siano d'accordo con
me!
Ah, leggi bene le lettere degli altri, è offensivo non prestare la dovuta
attenzione.
Mi sembra di essere stato chiaro dicendo ripetutamente che la domanda era
puramente teorica (chi se ne frega di IOS Cisco e ISA Server).
Se sei un ingegnere allora dimostralo... interessati a tutte le soluzioni e
non scartare di principio qualunque cosa... a volte c'è da imparare!

 funzionante
abbiamo capito che t piace tanto ios, ma se non t 6 accorto, esiste anche
altro!
ci sono i MSManiaci ma tu sembri un IOSManiaco!
secondo te se non si usa un cisco non si č niente...
lo so anche io che cisco fa un sacco di apparecchi di rete, che li fa bene,
che li comprano tutti, che anche io voglio prendere una certificazione
cisco, ma non mi passa nemmeno per la testa di imparare a usare SOLO
apparecchi cisco!
so usare dos, windows, *nix, commodore (per chi ce l'ha ancora...), capisco
qlcs di as400 e adesso voglio fare pratica con router e simili, ma resta il
fatto che in ogni caso, esiste quasi sempre + d una soluzione.
dipende da tanti fattori, non solo dalla marca che mi piace usare!

Non ho detto che esiste solo una soluzione (CISCO) , ho detto che
esistono varie
soluzioni (alcune migliori di altre) e che ci sono persone che ritengono
migliori certe soluzioni rispetto ad altre.
Stavo solo cercando di far capire al nostro amico il perchč si scelgono
soluzioni hardware rispetto a quelle software e viceversa e comunque non
escludo a priori
quelle software. (ho installato piů volte ISA server perchč il cliente
lo
ha rischiesto specificatamente ed ho notato comunque molte restrizioni
rispettto ad altri prodotti (vedi 3com, Nokia, Cisco)).
Uno č libero di scegliere quello che vuole e consigliare ad altri quello
che
ritiene migliore. Se poi i consigli non si accettano non me ne faccio di
certo una ragione di vita .... e se i consigli non si accettano solo
perchč
non si conosce il prodotto non č un mio problema !! :-))
ciao 


 accesso da rendere la ricerca di falle piů semplice.
Gran parte dei firewall "hw" attualmente presenti sul mercato non sono altro
che macchine contenenti linux embedded.
Il firewall piu' rinomato (CheckPoint) e' un firewall software, che va
installato su un pc dotato di un suo sistema operativo unix o windows.
In pratica, in realta', i firewall hw non esistono.
Il Pix firewall della Cisco ha comunque il suo sistema operativo, soggetto
alla sua casistica di bug e debolezze come un qualsiasi altro software.
Ciao,
 Luigi

  Luigi
Grazie per la tua risposta.
Ciao

 non si conosce il prodotto non č un mio problema !! :-))
Scusa, ma questa č una tua congettura... io non ho mai parlato di preferire
una soluzione ad un'altra (lo hai fatto tu) e io non ho mai nominato una
casa produttrice o l'altra (lo hai sempre fatto tu).
Io sono rimasto imparziale... perchč, ripeto, la mia č una domanda puramente
teorica.
Sono pienamente d'accordo con Paolo che č sbagliato avere delle risposte
pronte... bisogna saper valutare caso per caso e non č che accettare un fw
sw (ad esempio) vuol dire scegliere una soluzione peggiore. "Certo... avendo
i soldi..." No, non sono d'accordo ad affermazioni del genere.

 4-Possibilità di alimentatori rindondanti e configurazione rindondata
ridondare
v. intr. (io ridóndo; aus. essere)
1 (lett.) Abbondare, traboccare, sovrabbondare: il vestito ridonda di 
ornamenti.
2 (raro) Riuscire, risolversi: ridondare a onore, in danno, di qc.
(Zingarelli)

Siamo tutti più bravi quando usiamo il copia/incolla ;-)


secondo me alla fine tutto si riduce all'esperienza di chi installa e
configura...
se ho un cisco pix modello extralusso che filtra anche il micropolline delle
auto aziendali configurato alla zz, non mi serve a niente.
mi č senz'altro piů utile un windows/checkpoint configurato come si deve...
la scelta dello scatolotto preconfezionato (hw) piuttosto che un pc con
checkpoint/ipchains/iptables/quellochevoletevoi (ovvero sw) dipende in buona
parte dal budget (i sw spesso ripeto SPESSO e non sempre sono + economici
come prezzo d'acquisto) e dall'orientamento del ced aziendale (se il capoced
č il buon ermanno cosa prenderanno? ;-)))

 solo una questione di soldi!)
Come disse un saggio... la risposta giusta è sempre: dipende!
Dipende da che utilizzo fai del firewall, se ti serve per proteggere i file
di word della tua corrispondenza può andare benissimo un firewall software
(rapporto costo/sicurezza ottimo... sono gratis :-) ) se invece devi
proteggere file o reti ben più importanti non penso che la soluzione di un
firewall con win98 e zone alarm sia molto furba :-))
Io per esempio sto provando una soluzione alternativa ai costosi firewall hw
e ai, imho, più deboli firewall software: cercati Smoothwall, forse è
proprio quello che cercavi, una "via di mezzo" (anche se per la verità non
mi sembra proprio corretta come definizione, volendo analizzare le
caratteristiche).

 Anche questa questione... Windows non è meno sicura per un firewall?
Certo, ma se la macchina di per se non svolge nessun'altra funzione oltre al
firewall, si puo' in una certa misura soprassedere sulla sua sicurezza
intrinseca.
Ciao,
 Luigi

Ti consiglio di rileggerti le regole di Netiquette :-(( 


In pratica, in realta', i firewall hw non esistono.
come no: le forbici applicate sul cavo di rete ;-)
--
Tinto

 ornamenti.
questa è la definizione che interessa.
se ho due alimentatori, ce n'è uno di troppo (fino a quando la sfiga non
colpisce...)
se ho due dischi, ce n'è uno di troppo (fino a quando una testina non
atterra sul piatto...)
se ho un cluster con due server identici, ce n'è uno di troppo (fino a
quando un fulmine passa i filtri e me ne secca uno...)

 wrote in message
news:3c96fe9b...@news.interbusiness.it...

va bene una marca a caso o devo per forza scegliere un fornitore specifico?
:-)

Bene, questo mi aiuta a trarre una conclusione...
Tutta questa differenza tra un firewall "hardware" e uno "software" non
esiste.
Quindi mi sentirò più tranquillo a consigliarne uno software su di una
macchina dedicata, qualora fosse necessario.
In questo caso però sarebbe difficile implementare la DMZ.
Ma forse mi sbaglio e esistono firewall sw che gestiscono anche questo
sistema... con 3 schede di rete, quindi?

 sistema... con 3 schede di rete, quindi?
Si, Linux con ipchains/iptables oppure OpenBSD con ipfilter/Packet Filter.
-- 
Pierluigi De Rosa (
tho...@durin.khazad-dum.net
).
<<      LINUX: the choice of a GNU generation     >>
<<   For my real address... ask the Balrog.       >>
* Sostenete la Lega per la Soppressione dei Troll *

Giusto per mettere li' qualche indicazione ... ho letto il lungo thread, ma
ho notato che non si e' discusso della modalita' di attacco, al quale il
firewall dovrebbe offrire protezione.
In linea di massima si e' recentemente assistito all'escalation che vedeva:
- tentativi di intrusione su porte comunemente aperte
- uso di trojan su porte prima comuni e poi specifiche
- DoS mirati a mandare in crash lo stack TCP/IP (e qui, chi accusa i
firewall basati su un sistema operativo ha ragione:-))
- DDoS
- adesso sbuca pure il DRDoS ...
Consiglio agli interessati di leggere (ci vuole pazienza, ma si imparano
molte cose interessanti) sul sito di Steve Gibson
http://grc.com/su-firewalls.htm
Ciao
Luca

 
http://grc.com/su-firewalls.htm
Non vorrei sembrare polemico ma il signor Gibson ha recentemente scritto
qualche bella cazzata (se sei interessato cerca i thread relativi in
it.comp.sicurezza.varie) per cui non lo userei come parametro assoluto
di riferimento in tema di sicurezza.


 sistema... con 3 schede di rete, quindi?
Svariatissimi. A parte la possibilita' di realizzarselo da soli, ci sono
svariate distribuzioni-firewall gia' pronte, e i vari software tipo
checkpoint o simili gestiscono sicuramente la cosa.
Ciao,
 Luigi

 di riferimento in tema di sicurezza.
Non ho parlato in termini assoluti: me ne guardo bene!
Ho solo fornito un suggerimento per approfondire quella teoria che sul sito
di Gibson abbonda, e della quale in questo thread non mi sembra si sia
parlato.
Il personaggio e' indubbiamente logorroico e un po' borioso, ma una cosa e'
la tecnica e un'altra le interpretazioni a fantasia :-)
Se conosci qualche altro sito web molto documentato sul firewalling,
postalo. Cosi' impariamo qualcosa.
Ciao
Luca

 - adesso sbuca pure il DRDoS ...
Si, hai ragione, non se ne è parlato, quindi a quanto dici un i pc non sono
capaci di resistere a questi attacci.
Perchè?
Dopo vado a leggermi la pagina.

 postalo. Cosi' impariamo qualcosa.
Sarei molto di parte fornendo links relativi a soluzioni UNIX/Linux, per
esempio:
http://netfilter.samba.org/
http://www.ibiblio.org/pub/Linux/docs/HOWTO/Firewall-HOWTO
http://freshmeat.net/projects/3homediptablesfw/?topic_id=43,151
http://firestarter.sourceforge.net/
http://www.openbsd.org/faq/faq6.html#PF
http://www.openlysecure.org/openbsd/how-to/invisible_firewall.html
http://www.muine.org/~hoang/openpf.html
http://www.robertgraham.com/pubs/firewall-seen.html
http://list.nfr.com/firewall-wizards/
http://www.kmu-security.ch/article3/index.htm
.. bastano? :)


 wrote in message
news:SIJl8.5710$S52.1...@news2.tin.it...

a cedere è il sistema operativo, non il firewall.
se quindi ho un so con dei limiti + stringenti per quanto riguarda lo stack
tcp/ip, ovviamente anche il firewall dovrà sottostare a questi limiti...
se crasha lo stack, il firewall può fare ben poco!

 se crasha lo stack, il firewall può fare ben poco!
Verissimo, ma in un'altro ramo della discussione eravamo arrivati a dire che
anche i fw hw hanno un sistema operativo, ma tu ora mi dirai che è
propriamente configurato da sopportare questo genere di attacchi, vero?

 .. bastano? :)
Ottimo :-)
Leggero' asap.
Ciao
Luca

 - adesso sbuca pure il DRDoS ...
Personalmente trovo che gli stealth firewall partano da una base
intrinsecamente piu' sicura e diano anche notevoli vantaggi di topografia di
rete.
Ciao,
 Luigi