Newsgroup: it.comp.reti.ip-admin
Titolo: Sicurezza Linux

Cerco disperatamente script per aumentare la sicurezza del mio sistema
operativo Linux...
Di qualsiasi tipo.....
Kamy

 operativo Linux...
Per la sicurezza di rete usa:
#! /bin/sn
ifdown -a
Vedrai che nessuno riuscira' mai ad entrarti sul sistema......
-- 
Saluti,
Giancarlo

 ha scritto nel messaggio
news:8vjoe9$up2$1...@stargate1.inet.it...


 Devo dire spiritoso....
fai una domanda piu' precisa e magari eviti battute di spirito
ciao,
marco

operativo Linux...
Vai in it.comp.sicurezza.unix o ancora meglio it.comp.os.linux.iniziare,
questo non e` un newsgroup su linux.
-- 
ciao, | Does a route flap if nobody is listening to it?
Marco | (Ri)scoprire fidonet: 
http://bbs.mi.linux.it

 
Inizia a editare /etc/inetd.conf e commenta tutti i servizi che non ti
occorrono (time, finger, nfs ...)
Poi leggi IPCHAINS-HOWTO e configurati un bel firewall inattaccabile, se
puoi chiudi tutte le porte in TCP e UDP, e rifiuta tutti gli ICMP....
DanielinuX 
dan...@libero.it

 ha scritto nel messaggio
news:20001127.18131...@pc-dan.danielinux.yi.org...


 puoi chiudi tutte le porte in TCP e UDP, e rifiuta tutti gli ICMP....
Azz... era passata inosservata.... ma sei fuori ?
Cosa nella tua testolina ti spinge a dire che bisogna rifiutare l'ICMP ?
Innanzitutto mi devi spiegare quali sono i problemi di sicurezza legati
all'ICMP e ai suoi servizi. Poi vorrei saome fa il tuo stack a fare
PMTUD e come fai a non accorgerti che senza ICMP molte cose non
funzionano piu'.
Ciao.
-- 
 Daniele
-------------------------------------------------------------------------------
 Daniele Orlandi - Utility Line Italia - 
http://www.orlandi.com
 Via Mezzera 29/A - 20030 - Seveso (MI) - Italy
-------------------------------------------------------------------------------

 lunghi HOW-TO............
Non lo fare, e' una baggianata.


 
cioe'?
ciao,
marco

>>>>> "Marco" == Marco Lanzotti <mar...@SPAMgsol.it> writes:
    Marco> Daniele Orlandi wrote:
    >>  PMTUD e come fai a non accorgerti che senza ICMP molte cose
    >> non funzionano piu'.
    >> 
    Marco> cioe'?
La path MTU discovery, tanto per cominciare.
In ogni caso: che tipo di vulnerabilita' "chiudi" bloccando gli ICMP
indiscriminatamente?
Ciao,
-- 
Andrea Glorioso		sama(at)aglorioso(dot)com
			Padua, Italy

 indiscriminatamente?
in generale, ogni eventuale nuovo buco del protocollo ICMP nello stack
IP delle mie macchine
ciao,
marco

 IP delle mie macchine
Seguendo il tuo ragionamento, per essere sicuro, dovrei anche chiudere
TCP, UDP, GRE, ...
anzi facciamo un bel (supponendo ci sia un gw cisco):
access-list 101 deny ip any any
cosi' la tua rete sara' pressoche' inattaccabile!
Saluti!
-----------------------
Paolo Agazzone         
e-mail: 
a...@intercom.it
-----------------------

 cosi' la tua rete sara' pressoche' inattaccabile!
non diciamo str...ate. io partivo dal presupposto di aprire solamente lo
stratto necessario. 
ciao,
marco

>>>>> "ml" == Marco Lanzotti <mar...@SPAMgsol.it> writes:
    ml> Andrea Glorioso wrote:
    >>  In ogni caso: che tipo di vulnerabilita' "chiudi" bloccando
    >> gli ICMP indiscriminatamente?
    ml> in generale, ogni eventuale nuovo buco del protocollo ICMP
    ml> nello stack IP delle mie macchine
Al di la' del fatto che a questo punto ti conviene spegnere proprio il
computer o quantomeno staccarlo dalla rete :), cosi' facendo impedisci
ad un bel po' di cose (tra cui la PMTU discovery) di funzionare.
Hai idea di quanti "buchi" nel protocollo TCP esistono?  A questo
punto "chiudi" tutto il traffico TCP. :)


 IP delle mie macchine
Quali sono stati gli ultimi *BUCHI DI SICUREZZA* legati all'ICMP ?


 stratto necessario.
Ecco... allora l'ICMP e' strettamente necessario.


>>>>> "ml" == Marco Lanzotti <mar...@SPAMgsol.it> writes:
    ml> non diciamo str...ate. io partivo dal presupposto di aprire
    ml> solamente lo stratto necessario.
E' un'impostazione che mi trova assolutamente d'accordo, ma bloccare
*tutti* i tipi di ICMP non e' una buona idea, perche' ICMP spesso e'
necessario ad un fluido e ottimale funzionamento di Internet.



Mah!
#icmp importanti
iptables -A INPUT -i ppp0 -p icmp --icmp-type echo-reply -j ACCEPT
iptables -A INPUT -i ppp0 -p icmp --icmp-type destination-unreachable -j ACCEPT
iptables -A INPUT -i ppp0 -p icmp --icmp-type time-exceeded -j ACCEPT
#blocca gli altri icmp
iptables -A INPUT -i ppp0 -p icmp -j DROP
Mi pareva che fossero sufficenti quei tra lassu`... (almeno per la mia
miserrima rete domestica eh)
-- 
    Pardo 
 
www.pardo.cjb.net

 iptables -A INPUT -i ppp0 -p icmp --icmp-type time-exceeded -j ACCEPT
Mah... ce ne sono altrettanti utili:
icmp-net-unreachable
icmp-host-unreachable
icmp-port-unreachable
icmp-proto-unreachable
icmp-net-prohibitedor
icmp-host-prohibited
Quello che continuo a non capire e' dove sta il problema di SICUREZZA
legato all'ICMP...


 
non parlo di un problema specifico legato ad ICMP, e' che ritenendolo
(erroneamente) inutile non mi sembrava il caso di aprirlo
ciao,
marco

legato all'ICMP...
Cosi` non mi pingano. A me piace avere tutto sotto controllo. 
Ho notato cmq che ultimamente molti server non rispondono piu` ai ping,
sara` per via degli attacchi ddos, hanno paura di essere usati come 
`amplificatori' di pong...
-- 
    Pardo 
 
www.pardo.cjb.net

 `amplificatori' di pong...
Nooo, è ch etu non accetti le loro risposte....
il problmea dle ping, ch emi ricordo anche io di avere chiesto, è legato all
apossibilità che tu venga usato
come ripetitore dei broadcast per attaccare un target....
Evitare di farti pingare ha un valore simbolico!!!

 `amplificatori' di pong...
Fermare gli icmp echo e' una cosa sostanzialmente diversa dal fermare gli 
icmp in toto. Per esempio fermare gli host-unreachable, port-unreachable e 
i time-exceeeded perche' cosi non va piu' il traceroute e' una fesseria.
-- 
ciao
hobs

Nooo, č ch etu non accetti le loro risposte....
noooo, io non accetto gli echo-request, i reply si
-- 
    Pardo 
 
www.pardo.cjb.net