Newsgroup: it.comp.reti.ip-admin
Titolo: 15 Dic Legge Amministratori di sistema

Ciao , questo post � rivolto a tutti gli amministratori di sistema, c'� 
qualcuno che ha trovato qualche  soluzioni che ottemperi a tutti i punti 
della legge in oggetto?
Sono gradite soluzioni OpenSource .
Grazie 

 un cretino ha scritto:
"Il microkernel e' morto da molto tempo ed ancora non lo sa." (cit. Bluff)

 amministratori e un masterizzatore.
La fai facile, tu. ;)
La verità è che quel provvedimento è allucinante e ancor più allucinante
è la successiva FAQ del Garante, dove si affermava, in sintesi "fate un po'
come cazzo vi pare".

 amministratori e un masterizzatore.
La fai facile, tu. ;)


 ha scritto nel messaggio 
news:hes3na$o5p$1...@posted-at.bofh.it...

Bhe allora non e' mica tanto allucinante ;-)
-- 
 ************** (.)_(.) *******************
 Un amico è uno che sa tutto di te e,
 nonostante questo, gli piaci
(E. Hobbard) 

 come cazzo vi pare".
IMHO per diretta conseguenza di una grossissima e sottovalutata
turbocappella in fase 1.
-- 
Professional System & Network Sarcazzer
http://bofhskull.wordpress.com/

 Bhe allora non e' mica tanto allucinante ;-)
A maggior ragione è allucinante perchè siamo sempre più il paese della 
burocrazia e delle leggi super-restrittive, così restrittive che tutti poi 
"chiudono un occhio", generando un caos completo.
-- 
Vide

 turbocappella in fase 1.
Fondamentalmente il problema è che all'inizio hanno sparato altissimo 
richiedendo l'impossibile, poi se ne sono resi conto ed hanno annullato 
qualsiasi utilità del provvedimento con le FAQ.
Alla fine questo provvedimento non serve veramente a NULLA nella più vasta 
accezione possibile di tale termine.


accezione possibile di tale termine.
Sbagliato, ha un importante scopo politico.
Serve a rassicurare alcuni che i casi di accessi illeciti a dati
sensibili accaduti nel recente passato sono stati fatti da sistemisti
che agivano all'insaputa dei dirigenti dell'azienda che non avevano modo
di controllarli. Se ci vuoi credere...
-- 
ciao, |
Marco | The Internet is full. Go away.  -- Joel Furr

 
Meravigliosa!
E' la miglior giustificazione che ho letto fino ad
ora! (ed anche la piï¿œ probabile) :-(
Cmq...
Non so se puï¿œ essere utile a qualcuno, ma qui ho
postato la mia soluzione (in continuo aggiornamento)
http://blog.maurizio.proietti.name/2009/10/29/provvedimento-del-garante-sugli-amministratori-di-sistema/
Se avete consigli sono sempre ben accetti
Saluti
-- 
--
Problemi e soluzioni di un sistemista informatico
http://blog.maurizio.proietti.name

 Sbagliato, ha un importante scopo politico.
Lol, non posso che quotare.


Per i sistemi Debian credo di essere a posto (anche grazie alle
vostre risposte.
Qualcuno ha ideaa di come gestirla su sistemi Windows?
-- 
Gerolamo 

 Qualcuno ha ideaa di come gestirla su sistemi Windows?
Abilita nelle policy il tracking dei logon/logoff e amplia la dimensione del
Security log in maniera tale da tenere 6 mesi di eventi.
Oppure esporta periodicamente il security log su DVD-R
Ciao,
luigi
-- 
/
+--[Luigi Rosa]--
\
Politicians do it to everyone.


Ottimo. Cerco dov'�.
Grazie
-- 
Gerolamo 

 Ottimo. Cerco dov'�.
start | esegui | eventvwr  per l'event viewer e click destro + proprieta' sul
security log per impostare la dimensione e/o cancellarlo e/o esportarlo (c'e'
anche un tool che lo fa da command line)
start | esegui | secpol.msc per le policy locali le policy di Audit sono nel
contenitore delle policy locali
Ciao,
luigi
-- 
/
+--[Luigi Rosa]--
\
The energy produced by the breaking down of the atom is a very poor
kind of thing. Anyone who expects a source of power from the
transformation of these atoms is talking moonshine.
    --Ernest Rutherford, 1930


Mitico!
ri-grazie
-- 
Gerolamo 

> Qualcuno ha ideaa di come gestirla su sistemi Windows?
http://ntsyslog.sourceforge.net/
lo installi e lo configuri per inviare i logs al syslogd


Vecchio e AFAIK non piï¿œ manutenuto.
Io uso SNARE Agent for Windows he permette anche di fare giï¿œ di suo dei 
filtri sul client.


 filtri sul client.
lo fa anche ntsyslog, sennï¿œ ... syslog-ng :P

Mi infilo a capofitto nel thread.
La normativa prevede che il titolare del server
deleghi in forma scritta un amministratore di sistema
e che periodicamente ne controlli l'operato..
Per chi possiede il proprio server ed ha me come
sistemista (pensa che sfiga) nessun problema, firma
il foglio e mi delega.
Ma se il server ï¿œ mio, ed al suo interno ci sono altri
clienti, come ad esempio un piccolo server per shared
hosting, i singoli clienti non sono tenuti a far compilare
nulla, giusto? Al massimo ï¿œ l'azienda per la quale lavoro che
delega me, ma non i singoli clienti.
E gli accessi FTP da parte del cliente verso il proprio sito
vanno registrati? In teoria no...

 vanno registrati? In teoria no...
Hm... perch� no ? Si tratta comunque di accessi al sistema e
sebbene non rientrino nella normativa relativa agli "admin"
credo che rientrino in quella relativa al controllo degli accessi
al sistema da parte degli utenti (ed in tal caso il cliente credo
possa essere considerato alla stregua di un utente)

 possa essere considerato alla stregua di un utente)
Io loggo gli accessi inerenti la normativa agli "admin" su un server
separato, li rendo immutabili, calcolo l'md5 di ciascun file e masterizzo.
Per gli accessi FTP ovviamente no, anche perchï¿œ sarebbero una fiumana
di DVD. Registro tutto, ma non calcolo hash e robe simili.
-- 
Non tocca a noi dominare tutte le maree del mondo,
il nostro compito ï¿œ di fare il possibile per la
salvezza degli anni nei quali viviamo,
sradicando il male dai campi che conosciamo.

 simili.
non credo che gli hash in questo caso siano richiesti

 non credo che gli hash in questo caso siano richiesti
E ok, ma il decreto "admin" dice di salvare anche gli FTP?
In pratica, gli accessi FTP rientrano ANCHE nel decreto admin
o solo nel controllo 'standard' degli accessi al sistema?


 o solo nel controllo 'standard' degli accessi al sistema?
Non vedo la differenza, se accedi con la username di amministratore devi
loggare, altrimenti no.
-- 
Stefano L.

 separato, li rendo immutabili, calcolo l'md5 di ciascun file e masterizzo.
Come li rendi ''immutabili'' ?
-- 
Stefano L.

 Come li rendi ''immutabili'' ?
usando un file append-only fino alla rotazione
e poi calcolandone l'hash subito prima della
scrittura su cd.
In pratica, io scrivo su un file append-only, ogni
sera ruoto i file (ne ho svariati provenienti da molti
server) calcolandone l'hash uno per uno, creo un tar
e calcolo l'hash anche del tar. Poi masterizzo il singolo
file.
-- 
Non tocca a noi dominare tutte le maree del mondo,
il nostro compito � di fare il possibile per la


 file.
Quindi, come al solito, stiamo parlando di un'immutabilita' all'acqua di
rose. (1)
Cosa impedisce di copiarsi il cd cd su disco, modificarlo, ricalcolare gli
hash, rimasterizzare, buttare il cd originale ?
O magari modificare il file prima di masterizzare, se sei root fai cio' che
vuoi !
A parte cio', prevedi di masterizzare 365 cd all'anno ?
(1) cosa che per il legislatore sembra sufficiente.
-- 
Stefano L.

 A parte cio', prevedi di masterizzare 365 cd all'anno ?
I cd multisessione, questi sconosciuti.
O i dvd multisessione...
Ma anche se fossero 365 cd, per 15 centesimi l'uno fa poco pi� di
50 euro all'anno, credo di sopravvivere.


 50 euro all'anno, credo di sopravvivere.
Non era per la spesa, ma per l'inquinamento.
Ogni tanto mi chiedo se i nostri figli si troveranno sommersi dal
policarbonato. (E' un periodo che sono parecchio pessimista!)
 
-- 
Stefano L.

 Non esistono altre soluzioni, per cui si.
Esistono altre soluzioni, inviare ad una terza parte un log crittato o un 
hash, la quale provvede a firmare con marca temporale e semmai a conservare 
i log.
Avrei voluto dare un servizio del genere, poi ci ho pensato un attimo e non 
ho un fondello per il culo abbastanza spesso, quindi ho rinunciato.
-- 
  Daniele Orlandi						つづく

 chiave di cifratura del successivo" e "marcatura temporale".
Robustissimo :-P
Se ti perdi (o ti si corrompe) una riga perdi tutto per i secoli dei
secoli.. :-D
E anche in quel caso, vorrei capire: in che termini ciï¿œ impedisce che un
amministratore rigeneri l'intera struttura crittografica del log dopo
averne modificato il contenuto a suo piacimento?
La marcatura temporale dell'hash, fatta da una terza parte, ï¿œ l'unica
vera soluzione.
-- 
Professional System & Network Sarcazzer
http://bofhskull.wordpress.com/

 conservare i log.
Io banalmente immaginavo di inviare giornalmente via e-mail al titolare del
trattamento l'hash dei log del giorno.
Da quel momento il log e' immodificabile nel senso che se l'amministratore
lo modifica, il titolare del trattamento se ne puo' accorgere.
A questo punto non serve nemmeno masterizzare su cd.
Resta il problema che se l'amministratore modifica il log prima del calcolo
dell'hash casca l'asino.
Naturalmente l'amministratore non deve amministrare anche la casella imap
del titolare del trattamento.....  :p
-- 
Stefano L.

 vera soluzione.
Sono d'accordo, pero' o marco ogni singola riga oppure siamo punto e a capo.
Resta il fatto che il legislatore non dice quanto debba essere robusto e
inattaccabile il sistema.
Dice invece espressamente che e' a discrezione del titolare del trattamento
dei dati stabilire se il sistema e' adeguato o meno.
In pratica il legislatore dice "fai un po' quello che ti pare, basta che fai
qualcosa".
A questo punto i miei dubbi sono altri: loggo anche access point, firewall,
ecc ?
Loggo anche i client ? E se si, come la mettiamo nei posti in cui sui client
gli utenti hanno tutti i privilegi di ''administrator'' ?
 
-- 
Stefano L.

 
Ecco appunto.
Supponiamo di avere in gestione un server di un cliente.
Il cliente, in teoria, deve autorizzare me come sistemista.
MA:
questa rottura di maroni vale per tutti i server?
Oppure solo server in cui sono presenti dati sensibili? (esiste un
elenco di cosa si intende per dati sensibili?)
Mi spiego: se nel server ci son solo siti internet del cliente
stesso, nessun dato particolare, non ï¿œ un server ad uso interno
alle aziende con magari sopra il gestionale, ma un banale server
web con sopra alcuni siti di proprietï¿œ del cliente.
Devo loggare i miei accessi anche li? Non ci son dati sensibili.

 avevi trovato l'uovo di Colombo.
C'era questo, ma ï¿œ dead.
http://www.securityfocus.com/tools/1692


 inattaccabile il sistema.
E per fortuna. Lascia al titolare lo scegliere gli strumenti 
*adeguati*,
chiarendo (o cercando di chiarire) scopo e principi generali e 
lasciando
poi i dettagli implemetativi a chi conosce e opera nelle singole 
realta'
aziendali. Come principio e' molto meglio dell'imporre delle soluzioni 
a
priori, che complicano enormemente la stesura della norma (e la 
relativa
interpretazione e applicabilita') e possono poi rivelarsi 
eccessivamente
onerose per alcuni o eccessivamente semplicistiche per altri. Coloro 
che
hanno operato nel campo della sicurezza e igiene del lavoro fino a 
meta'
anni '90, sa cosa vuol dire lavorare con norme fortemente prescrittive 
e
di rigida applicazione.
Fabio

 gli utenti hanno tutti i privilegi di ''administrator'' ?
E' indifferente. Quel che qualifica un amministratore non sono i diritti che 
ha sul sistema ma ï¿œ l'incarico che gli ï¿œ conferito.


 che ha sul sistema ma ï¿œ l'incarico che gli ï¿œ conferito.
Questa e' una sottigliezza a cui non avevo fatto caso.
Pero' nella FAQ 1 si puo' leggere che gli amministratori di sistema sono
dei "particolari operatori di sistema dotati di specifici privilegi" e
quindi.....
Comunque siamo nell'ambito delle chiacchere da bar, resto dell'idea che
l'importante sia fare qualcosa ma cosa si fa e' indifferente.
Tra l'altro ho parlato, tra le altre persone, anche con due avvocati
specializzati in questioni informatiche.
Il primo diceva: Fate attenzione, in tribunale conta il testo di legge, le
FAQ del garante contano come il due di picche.
Il secondo, a cui ho riferito le parole del primo, controbatteva: Un giudice
non puo' non tener conto delle FAQ.
-- 
Stefano L.

 Devo loggare i miei accessi anche li? Non ci son dati sensibili.
Ma ci sono dati personali :-)
Se c'è il nome dell'azienda, l'indirizzo, il nr di
tel ... ecc...
:-)
Saluti
--
Problemi e soluzioni di un sistemista informatico
http://blog.maurizio.proietti.name

 tel ... ecc...
Si ma sono dati pubblicamente accessibili, che senso
ha 'proteggerli' dal sistemista?
Basta andare sul sito delle pagine gialle o aprire
l'elenco telefonico per vedere quei dati.
Siamo sicuri che si debbano proteggere i dati personali
e non solo i sensibili? Perchè la faccenda cambia di
parecchio.
Anche tutti gli Access Point, se son stati configurati
con il nome dell'azienda da qualche parte, vanno loggati
e non sempre è possibile.
Anche i firewall, se hai uno squid con la pagina di errore
customizzata.
Anche il server con il pannellino di gestione dei domini, se
nel footer è presente il copyright di una azienda.
Così come ciascun server con dentro dei sorgenti, dato che in
testa al file è presente quasi sempre il nome dell'azienda.
O una qualunque pagina PHP realizzata con uno strumento di
sviluppo più evoluto del blocco note, dato che potrebbe
comparire il nome di chi ha fatto il commit o il file.
In pratica, su ogni server o ogni apparecchio elettronico è
presente un dato personale come il nome azienda, ma è un
dato liberamente accessibile su internet o da interrogazioni...

 dato liberamente accessibile su internet o da interrogazioni...
Gi�... e che mi dici dei dati di registrazione presenti in whois :D ?

 Giï¿œ... e che mi dici dei dati di registrazione presenti in whois :D ?
Quindi? Non ti seguo.
Il nome azienda ï¿œ pubblicato ovunque, cosï¿œ come la partita iva.
Posso capire benissimo il fatto di non poter utilizzare tali
dati liberamente (cosï¿œ come per le mail) ma un conto ï¿œ garantire
il non utilizzo indiscriminato di tali dati, un conto ï¿œ obbligare
tutti a loggare gli accessi a server in cui sono presenti tali dati.
Per i dati sensibili ok, ma per il nome azienda o il nome-cognome di
una persona, vuol dire che dentro una azienda di medie dimensioni,
devi loggare pressochï¿œ ogni apparato elettronico.
Mi risulta impossibile credere che nemmeno un tecnico che accede al
server non crea uno script con dentro il suo nome nel changelog.
In tal caso, anche tutto quel server deve essere protetto?
Se su un firewall mi faccio uno script (e lo faccio sul serio) inserendo
in testa al file la data di creazione dello stesso ed il mio nome, devo
proteggere tutti i firewall e farmi autorizzare dai clienti perchï¿œ ï¿œ
presente un dato personale (il mio) ?
Ne ho vagonate in giro...
-- 
Non tocca a noi dominare tutte le maree del mondo,
il nostro compito ï¿œ di fare il possibile per la


 Quindi? Non ti seguo.
quel che volevo dire � che secondo me quei dati non c'entrano
nulla con il discorso che stiamo facendo dato che non si tratta
di dati sensibili e che tali dati sono pubblicamente consultabili
da chiunque

 da chiunque
Infatti, NON sono dati sensibili, ma personali.
Bisogna tutelare anche i dati PERSONALI ?


 Bisogna tutelare anche i dati PERSONALI ?
Non mi risulta, ad ogni modo, come ho gi� scritto,
credo che la discussione potrebbe essere pi� IT
nel gruppo "it.diritto.internet" che non qui

 
Art 3.
...richiama inoltre l'attenzione sull'esigenza di
valutare con particolare cura l'attribuzione di
funzioni tecniche propriamente corrispondenti o
assimilabili a quelle di amministratore di
sistema, laddove queste siano esercitate in un
contesto che renda ad essi tecnicamente possibile
l'accesso, anche fortuito, a dati *personali*.
FAQ.1)
Cosa deve intendersi per "amministratore di sistema"?
In assenza di definizioni normative e tecniche
condivise, nell'ambito del provvedimento del
Garante l'amministratore di sistema ï¿œ assunto
quale figura professionale dedicata alla gestione
e alla manutenzione di impianti di elaborazione
con cui vengano effettuati trattamenti di dati
*personali*, compresi i sistemi di gestione delle
basi di dati, i sistemi software complessi quali i
sistemi ERP (Enterprise resource planning)
utilizzati in grandi aziende e organizzazioni, le
reti locali e gli apparati di sicurezza, nella
misura in cui consentano di intervenire sui dati
*personali*.
Il garante specifica "dati Personali" e non sensibili.
Cmq sono d'accordo sul *non* applicare il
provvedimento agli apparati di rete e a tutti i
server/servizi che espongono dati *personali*
pubblicamente conoscibili.
Anche se, il garante specifica, per es., che
occorre loggare il login/logout dai sistemi
DBMS... se sul mio dbms ho solo dei dati di siti
(quindi dati pubblicati su internet) posso evitare
tenerne i log?
No!
Quindi, in linea di massima, io loggerei dati su:
fileserver
mail server
db server
logserver :-)
Domain controller
Ma ï¿œ una mia interpretazione, un legale potrebbe
essere + indicato per una + corretta indicazione :-(
cmq, immagino che loggare anche il login/logout di
tutti i server web non sia un problema
insormontabile (IMHO!).
Saluti
-- 
