Newsgroup: it.comp.reti.cisco
Titolo: DELUCIDAZIONE FINALE SU FILTRI 761

Ma alla fine di tutto il discorso, inserire:
SET IP FILTER UDP IN SOURCE 
0.0.0.0/0:137-138
 BLOCK
SET IP FILTER TCP IN SOURCE 
0.0.0.0/0:139
 BLOCK
nel system (o nell'user internet non so')
E' IL MASSIMO DELLA PROTEZIONE DA INTERNET ? (ATTACCHI, BACKDOOR,ECC) x un
cisco 761
O si puň impostare qualcos'altro di piů efficace?
e in entrambe i casi...........quanto questi filtri sono efficaci in maniera
assoluta?
GRAZIE......per le risposte eventuali, anche per conto di tutti quelli che
capiranno qualcosa
in piů dopo queste (benedette!) risposte.
Giampiero

 assoluta?
Se per "efficaci in maniera assoluta" intendi che li imposti, e poi dopo 5
anni ti accorgi che qualcuno è entrato lo stesso e te ne vuoi poter
lamentare, no. Se intendi che quelle due righe ti bloccano le query e le
connessioni NetBIOS e non ne passa neanche una, sì.
Tuo
\/\/owbagger

 wrote in message
xQRalBF$$GA....@news-02.uni.net...


 .....dai Wowbagger ho capito che puoi dire di piů!
E tu vorresti delucidazioni finali sull'argomento? in un post di newsgroup?
Questo č ciň che chiamo l'ottimismo dell'incoscienza.... ;-)
Vero cho posso dire di piů, ma non nello specifico della serie 700, che
purtroppo ha un IOS completamente diverso, almeno del punto di vista dei
comandi, da tutto il resto della produzione cisco (a proposito,
perchččččččč? qualcuno lo sa?).
Quello che potrei scrivere, ma dovrei scrivere un libro e c'č chi li scrive
meglio di me, č tutto quello che so sull'argomento Internet security --
diciamo che con alcuni mesetti di studio e sperimentazione ti puoi fare una
decente idea della cosa. Un punto di partenza potrebbe essere
http://www.infosyssec.org/infosyssec/index.html
Dal lato cisco, ripeto, non so nulla sui comandi dei 700... se si trattasse
di qualunque altra serie di router, ti direi di cercare alcune "paroline
magiche", tipo access-list (e tutto ciň che č correlato), qualunque comando
che comincia per "aaa",  etc. Immagino che qualcuno che conosce i 700 ti
possa dare indicazioni + precise dal lato cisco.
Tuo
\/\/owbagger

cisco 761
Questo non c'entra nulla con la protezione. Questo serve solamente ad
evitare che attivita' sulle porte NetBEUI nbName, nbDatagram ed
nbSession facciano scattare una chiamata inutile al provider, ovvero
facciano spendere soldi inutilmente. Punto.
Per tutto quello che tu dici, occorre un firewall o, almeno, un
application gateway.
Ciao

 magiche", tipo access-list (e tutto ciò che è correlato), qualunque


 Ciao
Mi stai dicendo che con un Cisco 761 (senza software terze parti, tipo
Norton firewall)
sono nella stessa situazione come con un normale modem?!?!? ....E non posso
settare nulla per non far entrare nessuno da internet nella mia lan ?!?!
SE E' COSI SONO UN TANTINELLO ALLARMATO! ..
Vi prego di dirardare questo dubbio......
Giampos


Se installi un firewall e non lo setti adeguatamente saresti comunque
vulnerabile in un certo qual modo.
Il ruouter a la possibilità di filtrare alcune cosine in base ad indirizzi
ai protocolli ed alle porte, sta a te documentarti per capire a quali ip non
permettere l'accesso e su quali porte oppure in base a quali protocolli.
Esempio tante backdoor usano porte di default conosciute, quindi potresti
cominciare con proteggerti su quelle.

 cominciare con proteggerti su quelle.
Uhm... io adotterei un approccio diverso (premesso sempre che non ho la
minima idea dei comandi dei cisco 7xx -- a proposito, perchè #$%#^$$&& hanno
sti comandi? Non ci credo che non lo sa nessuno... che fate? tacete? eh?
omertosi!), che è più o meno quello che ho adottato per i "miei" routers
(alcuni 25xx, un 4500, un 3640, un 4000 e una dozzina di 1605): accettare
solo pacchetti (da fuori verso la tua rete, per intenderci) relativi a
connessioni "established" -- così eviti che da fuori chiunque possa
stabilire connessioni con l'interno, indipendentemente dalla porta. A questa
regola fanno eccezione solo i tuoi server, i pacchetti destinati ai quali
vanno fatti passare esclusivamente se sulle porte giuste. Lo puoi fare
usando le access-list, ammesso che sulla serie 700 esistano.
Se configuri una cosa del genere correttamente, tagli via un buon 95% dei
rischi provenienti da chi ti vuole stabilire connessioni dall'esterno.
Tuo
\/\/owbagger

sti comandi? Non ci credo che non lo sa nessuno... che fate? tacete? eh?
Perche' non e' stato sviluppato da Cisco, ma Cisco ha poi comprato la
ditta che lo ha sviluppato.

 omertosi!)
allora la ragione e' semplicissima: i cisco 800 sono nuovi, prima erano i
1000 (ora fuori produzione) gli entry level. zyxel, 3com etc etc si stavano
rubando tutto il mercato basso e BRAM! cisco si e' comprata una ditta che
aveva il prodotto gia' pronto, l'ha rimarchiato e venduto. questo e' quanto
un amico CCIE mi ha detto :)
un mayhem che molte aziende lavorano cosi' normalmente ;)
--
cosa bisogna scrivere in questo riquadro?

 cisco 761
allora, io mi metto nell'ipotesi che tu abbia una LAN di x PC connessa ad
Internet attraverso un cisco 761 che fa nat...
le due regole che hai messo servono solo per evitare che il router alzi la
linea di continuo in una rete windows...
dall'esterno sei inattaccabile per 2 motivi:
- gli ip interni non sono raggiungibili da Internet, a meno che tu non abbia
commesso gravi errori nell'assegnare gli ip alla tua LAN
- un 761 non prevede come gli altri router Cisco la possibilita' di
spostarsi su altre macchine, per esempio attraverso telnet. quindi anche
trovassero la password del tuo router nulla potrebbero fare alla tua lan,
solo riconfigurarti il router (sempre che non giochino con il NAT...)
- potrebbero fare qualcosa solo lavorando in blind-spoofing, ma cosi' su due
piedi sui 761 non ho mai affrontato il problema... difficilmente chi sa fare
una cosa del genere attacca una ditta che si collega ad internet in isdn con
un 761... magari con tin e ip dinamico....
un mayhem che la paranoia in questi casi (a torto) la trascuro un pochino :(


 - potrebbero fare qualcosa solo lavorando in blind-spoofing, .......
P.S. sarebbe bello sapere cos'e il blind-spoofing !