Newsgroup: it.comp.reti.locali
Titolo: Re: server non sicuro?

 casella postale dell'utente?
Il rischio e' che qualche spammer riesca ad entrare e utilizzi 
direttamente il servizio smtp del server per i suoi comodi.
Ti serve proprio pubblicare il servizio smtp? Potresti chiuderlo e 
pregare i tuoi utenti esterni di utilizzare il server smtp del proprio 
gestore di connessione, cosi' almeno ti salvi quella possibilita'.
Per la parte web ovviamente il rischio c'e' lo stesso, ma e' piu' 
complicato fare spedire spam da robottini.
Ovviamente dovresti cambiare la password con una un po' piu' complessa 
e, se possibile, usare SSL su webmail, POP e IMAP.
Ciao
Luca
-- 
Luca Sasdelli
Microsoft MVP - Security, Networking, Windows NT/2000/XP
http://support.microsoft.com/newsgroups/default.aspx
IDRCI Italia - 
http://www.idrci.it
 - 
http://forum.idrci.it
CHX-I, CHX-I NAT Stateful Packet Filter

 accessibili da internet.
E' solo una questione di probabilita' e forse di protezione contro gli 
attacchi brute-force; ad esempio, ci sono server imap/pop3 che bannano 
un dato IP dopo n errori di credenziali, cosi' come ci sono firewall 
che, operando a layer 7, controllano che l'accesso ai servizi pubblicati 
avvenga proprio con le modalita' di un client e non in altro modo.
Per lo snooping delle password, comunque, se puoi prova a modificarle, 
eventualmente segnalandole agli utenti via sms.


 Ho visto pero' che molti non lo hanno fatto.
Per il problema delle password, metti una password tosta e indica agli 
utenti di cambiarla. Ti faccio vedere dopo come si daranno da fare... 
utonti...

 dominio?
C'e' qualcosa che non mi torna. Nella prima affermazione dicevi che e' 
usabile solo dall'interno; pero' la macchina e' pubblica ...
Comunque, se gli utenti esterni usano l'smtp del provider, e accedono 
alla posta via SSL, non vedo grossi problemi.
Anti-relay, antispam, antivirus ... tutto a posto? :-D


 utonti...
Qualcosa tipo _shg7&t,ts[poq]) ?
Niente male! ;-)


 configurate in postfix non sono sufficienti.
Puoi installare amavisd, che usa Mail::SpamAssassin come modulo perl e
carica automaticamente tutti gli antivirus che trova. Funziona molto bene.
Come antispam e antirelay ho usato ASSP per parecchio tempo, ma ho avuto
un po' di problemi con la revisione 1.1.0 (il daemon si chiudeva per
conto suo e dato che e' un proxy smtp, e' un po' un guaio ...) e al
momento non ho grossi problemi con questo set-up RBL:
smtpd_helo_required = yes
smtpd_delay_reject = yes
reject_non_fqdn_hostname
smtpd_client_restrictions = permit_mynetworks,
                reject_rbl_client 
sbl-xbl.spamhaus.org
smtpd_recipient_restrictions =  permit_mynetworks,
                reject_invalid_hostname,
                reject_non_fqdn_sender,
                reject_unknown_sender_domain,
                reject_unauth_destination,
                reject_rhsbl_client 
blackhole.securitysage.com
,
                reject_rhsbl_sender 
blackhole.securitysage.com
                reject_rbl_client 
bl.spamcop.net
,
                reject_rbl_client 
l1.spews.dnsbl.sorbs.net
,
                reject_rbl_client 
dul.spews.dnsbl.sorbs.net
,
                reject_rbl_client 
relays.ordb.org
,
                reject_rbl_client 
sbl.spamhaus.org
                reject_rbl_client 
combined.njabl.org
receive_override_options = no_address_mappings
Antivirus clamav, bitdefender, f-prot e nod32, aggiornamento ogni 10'.
Su un altro MX con Win2003 ho MDaemon, che impiega SpamAssassin di
default, preceduto da hMailServer con Clamav e RBL, usato come relay
smtp per il dominio locale; i risultati sono abbastanza simili per
entrambe le piattaforme.


 Niente male! ;-)
Magari un pochino meno contorta :)
Già mischiare lettere e numeri sarebbe una buona idea.

 problema visto che usi piu' di un antivirus?
Per la verita' usavo solo nod32 e sono rimasto sorpreso dal fatto che,
in piu' di un anno di funzionamento su piu' macchine pubbliche in tutta
Italia, clamav ha sempre individuato esattamente tutto cio' che veniva
rilevato da nod32; nel frattempo, quest'ultimo e' diventato parecchio
costoso e quindi ho optato per clamav, anche se non dispone della
rilevazione euristica. Nod32 per mail server ha anche la funzione di
analisi e decompressione allegati che viene svolta da amavisd-new.


 invece sono stati rilevati dagli altri?
Si', questo e' accaduto con f-prot e clamav/nod32; visto che il peso
degli scanner e' minimo, li lascio cosi' su tutte le macchine.
