Newsgroup: it.comp.sicurezza.unix
Titolo: Antivirus x linux

Capita (piuttosto spesso) di leggere che qualcuno ha creato un virus, 
trojan, ecc.ecc. che funziona anche su linux. Vorrei sapere se ci sono 
degli antivirus o programmi specifici per filtrare questo problema.


bisogna chiudere i buchi, ovvero tenere aggiornati i server e le 
principali appz e librerie
i 2 worm che hanno fatto notizia sono Ramen e Lion, che si diffondono 
sfruttando certe vulnerabilita` dei server bind su sistemi Redhat
aggiornando bind alla 8.2.3 o alla 9 si e` gia` a posto
chi non usa bind e non ha una connessione permanente alla rete (ad 
esempio tutti gli utenti casalinghi) non e` toccato dal problema
evidentemente un sistema quale dos o win9x e` cosi` 
implicitamente insicuro nella sua architettura che correggere le 
vulnerabilita` non e` proprio possibile, ecco perche` li` si usano gli 
antivirus
in piu` poi c'e` la M$ che provvede un flusso costante di nuove 
vulnerabilita` con i suoi IE e OE ;-)
-- 
    Pardo 
 
http://pardo.cjb.net
 
http://pardo.tsx.org

esempio tutti gli utenti casalinghi) non e` toccato dal problema
Tranne i megalomani come il sottoscritto che si installano un
nameserver per puro sfoggio di potere e si fanno bucare il server 20
minuti dopo... ====8-O
Dannata RedHat... è già da tempo che ho intrapreso un'opera di
bonifica del mio sistema, sto progressivamente rimuovendo *tutti* i
pacchetti rpm, per sostituirli con versioni ricompilate dai tar.gz.
Ancora un po' e potrò dire a chi usa Debian: "cosa sono tutte quelle
pippe automatiche??" :-bbbbbbbbbbbb
-- 
Massimo Bacilieri AKA Crononauta
ulib...@libero.it
 ; ICQ UIN: 4005815
"Se tutto è sotto controllo, stai andando troppo piano"
(Mario Andretti)

 pippe automatiche??" :-bbbbbbbbbbbb
Provare con slackware no?
Guarda i bugfix che hanno rilasciato rispettivamente redhat, mandrake,
debian, etc e paragonale a quelle di slackware (puoi dare un occhio a
bugtraq - 
securityfocus.com
).
Se ti affidi a distro che in versioni che considerano "stabili" utilizzano
software in beta, o a volte in alpha o cmq versioni che non sono in giro
da molto e quindi non sono molto testate è logico che ogni giorno tu debba
aggiornare qualcosa.
La gestione dei pacchetti di slackware farà anche "cagare" (non che gli
rpm o i deb siano tanto meglio..) ma almeno è solida e stabile come una
roccia.
</rant>
-fizban

 roccia.
Attenzione, fa cagare in un solo punto, sulle dipendenze.
Pe rcui , chi è un attimino meno newbie, potrebbe anche fregarsene.
Per il resto, è del tutto perfetta....IMHO...

 del tutto perfetta....IMHO...
Nessun dubbio sul fatto che sia perfetta ;)) E non ho mai avuto problemi
con i tgz di slackware, ma siccome e' èl'unica argomentazione che gli
"anti-slackware" di solito hanno, portavo avanti le mani ;P
-- 
fizban
rimuovi spam e metti fizban per mandarmi email
o finisci nel buco nero (/dev/null) =) 
non mandarmi email con .exe in attachment, uso 
linux ;( e se proprio devi farlo non usare il
tuo ip almeno ;P

linux ;
Non vedo perché avvisare, io ho questo simpatico rule nel mio
procmailrc:
:0 B
* ^Content-Disposition:.*attachment.*\.[Ee][Xx][Ee]
/dev/null
Poi che mandino un po' quello che vogliono :-)


 procmailrc:
[snip]
heh, volevo risparmiare ai genietti di sprecare banda ;)) cmq qualle
signature era per altri newsgroup, si spera che almeno qui non ci siano
lameroni ;O
-- 
fizban
rimuovi spam e metti fizban per mandarmi email
o finisci nel buco nero  =)

pippe automatiche??" :-bbbbbbbbbbbb
Ihihih... se hai fegato, vallo a dire su qualche it.comp.os.linux.* ;-)
-- 
BlueRaven
Prima di parlare, ricorda:
mount -t auto /dev/brain /mnt/mouth

Ihihih... se hai fegato, vallo a dire su qualche it.comp.os.linux.* ;-)
Fammi solo completare la mia opera di demolizione sistematica della
gestione rpm... :-b


 Poi che mandino un po' quello che vogliono :-)
....ti manderanno i  com, i bat, i pif, i doc con macro etc etc,devi usare un
content scanner.....
Usa amavis, con almeno tre antivirus, e vivrai tranquillo....



Fammi capire a che cavolo ti serve un antivirus su un sistema che non
riconosce gli eseguibili per windows (a meno di usare un emulatore, ma
se uno lancia da root un eseguibile sospetto in emulazione, č
veramente uno che cerca rogne!!!).
Lascia che mandino, forse non hai capito che su linux i com, bat pif
etc sono solo file senza senso. Il filtro sugli exe era solo per
evitare la seccatura di cancellare a mano tutti gli allegati di
hybris...
Ma faccio anche presto ad aggiungere qualche altra estensione! ;-)
-- 
Massimo Bacilieri AKA Crononauta
ulib...@libero.it
 ; ICQ UIN: 4005815
"Se tutto č sotto controllo, stai andando troppo piano"
(Mario Andretti)

 hybris...
Perche' li filtri?
Io ho la mia cartella "Hybris", dove archivio tutti quelli che mi arrivano
(per ora solo Hybris...) :P
Prima o poi la ravo :P
--
--
           ~~ ICQ#: 8761263 ~~ 
http://www.delymyth.net/
 ~~
            E-Mail Addy: DElyMyth [at] delymyth [dot] net
           => FREE! Hardware Anti-Virus!!! - /dev/brain <=
GnuPG Fingerprint: F6D3 E002 C55A 0B58 7BD4  70CE A69B CCFC 741D 3099

 veramente uno che cerca rogne!!!).
Te lo spiego subito: MAIL SERVER!!!!
Sai che si usa linux anche per gestire la posta di utenti non linux???
Spero stavi scherzando....

Spero stavi scherzando....
Un po' sě e un po' no.
Trovo concettualmente sbagliato proteggere solo a monte dei sistemi
che sono deboli intrinsecamente.
Un virus puň arrivare in qualunque modo, un vecchio dischetto con dei
dati storici che si va a tirare fuori, un cd masterizzato senza
attenzione con dei file infetti che l'impiegato si installa per avere
il nuovo desktop piů bello dei colleghi, un sito web dal quale si
scarica un programma che si scopre essere virale...
Non riesco a capire che senso abbia andare a proteggere il mailserver,
e poi lasciare scoperti i pc che sono quelli a rischio.
La protezione si mette dove sta la debolezza, altrimenti č solo
aleatoria.
E se tutti i sistemi "vulnerabili" sono protetti per quanto possibile,
non vedo a che scopo voler proteggere anche il mailserver che se ne
sbatte altamente dei virus...


 sbatte altamente dei virus...
Perche' se arrivano virus tipo sircam o altri e anche da loro come da noi il
pop server e' accessibile dall'esterno succede un casino :P


 che sono deboli intrinsecamente.
Ma chi lo ha detto il contrario??
Ti prego di non prendere per assunto alcunchč.
Io ho detto che proteggo il mail server, non che NON proteggo i client.
Il mail server č il primo anello della catena, e protegge i client dalle
mail infette (quindi da uno specifico canale d'ingresso).
Il resto della tua disquisizione č basato su un assunto sbaglaito, per cui
non lo commento.
slauti

mail infette (quindi da uno specifico canale d'ingresso).
Scusami... ma che senso ha? Posto che tu tenga aggiornati allo stesso
modo i diversi antivirus, se un virus non è riconosciuto da quello sul
mailserver, non lo sarà nemmeno da quelli sui client, e il virus
passa.
Viceversa, se è riconosciuto dai client, non c'è nessun pericolo se
anche non lo si filtra a monte.
Poi in un accesso di paranoia si può anche voler filtrare tutto e
ovunque... secondo la regola di "melius abundare quam deficiere"...
-- 
Massimo Bacilieri AKA Crononauta
ulib...@libero.it
 ; ICQ UIN: 4005815
"Se tutto è sotto controllo, stai andando troppo piano"
(Mario Andretti)

Non te la prendere la polemica, fine a se stessa, non mi interessa.
ciao
P.S.: led dello switch docet

 /dev/null
..peccato che non funziona.....
Io lo devo settare per fare un autoreply, sui file con estensione doc, e
purtroppo non funziona....
Presumo, corregimi se sbaglio, non funzioni neppure a te....

Presumo, corregimi se sbaglio, non funzioni neppure a te....
Non č esatto, funziona per quello che deve fare, cioč killare. Se vuoi
l'auto reply sui doc devi fare cosě:
:0 B
* ^Content-Disposition:.*attachment.*\.[Dd][Oo][Cc]
{ 
:0 c
~/mail/robokillati
:0
| formail -x From: > /tmp/robotized ; \
MITTENTE=`cat /tmp/robotized | cut -d \< -f 2 | cut -d \> -f 1` ; \
COMANDO='mutt -s Messaggio_Robotizzato -x -i ~/mail/risposte_aut/doc' ; \
STRINGA=$COMANDO\ $MITTENTE ; \
$STRINGA < "." ; rm -f /tmp/robotized
}
Cosě, quando arriva un messaggio con un attach ".doc", prima ne salva una
copia in ~/mail/robokillati , poi risponde al mittente con un messaggio dal
subject "Messaggio_Robotizzato", e avente come corpo quanto trova nel file
~/mail/risposte_aut/doc
A questo punto si crea il file ~/mail/risposte_aut/doc, che puň essere per
esempio:
---8<---
Il tuo messaggio contiene un allegato che non puň essere accettato da
questo sistema. Sono ammessi solo messaggi in testo piano e senza allegati.
Cordiali saluti.
        - Il Roborisponditore.
--->8---
Ovviamente ti puoi creare tutti i messaggi che preferisci associati ai vari
filtri.
Se non ti interessa tenerne copia, ma solo rispondere, puoi togliere la
parte:
{ 
:0 c
~/mail/robokillati
:0
e la } in fondo.
-- 
Massimo Bacilieri AKA Crononauta
ulib...@libero.it
 ; ICQ UIN: 4005815
"Se tutto č sotto controllo, stai andando troppo piano"
(Mario Andretti)

anche non lo si filtra a monte.
Nessun pericolo? 
Tu hai degli utenti o sei l'unico a ricevere posta?
Non hai colleghi che cliccano sull'allegato e poi ti vengono a dire che
quel canchero di antivirus lo hanno dovuto spegnere, perche' non gli
lasciava leggere l'ultima mail che gli aveva inviato lo studio pinco
pallino, e dopo dodici message box di avviso si erano rotti?
O che ti mandano matrix in casella, perche' quell'icona li', in basso
gli impediva di eseguire quel salvaschermo cosi' carino, cosi' lo hanno
eliminato anche dall'esecuzione automatica?
Io non solo sto installando l'AV sul server, ho installato una trentina
di AV sui client, ma ho anche ordinato un completo sadomaso, e lo
mettero' in apposito armadietto conforme alla 626 in sala mensa[*], con
opportune spiegazioni, avvertenze e modalita' d'uso. <eg>
[*] In caso di necessita', rompere il vetro ... in testa all'utente.
-- 
           |Save our planet!
  Ciao     |Save wildlife;
  roberto  |For your E-MAIL use only recycled Bytes !!
           |roberto poggi  
rpo...@softhome.net

'
-I'Precedence: Auto Reply' -A'X-Loop: 
joboppor...@lastminutetour.com
' ;  cat
/home/job/.aargh/*@*.reply ;) | /usr/sbin/sendmail -t
        }
:0fwh
  | formail -A"X-Loop: 
joboppor...@lastminutetour.com
"
  :0c
  ! mike
   :0
  ! tom
I problemi, adesso (hop messun f/up appropriato) sono sul forward.
Io vorrei preservare il FROM originale ,e non mettere quello del casella....
Hai suggerimenti???

[*] In caso di necessita', rompere il vetro ... in testa all'utente.
Eheheh :-)
Io ho presente il detto "l'idiota è sempre più ingegnoso delle
precauzioni che si possono prendere per impedirgli di nuocere"...
=:-O
-- 
Massimo Bacilieri AKA Crononauta
ulib...@libero.it
 ; ICQ UIN: 4005815
»»» Un buon antivirus? Disinstallare Outlook Express!!!

Sě ma ci provano gli riformatto anche il culo! :-b
Ad alcuni si', anch'io, ma altri hanno una posizione nell'organigramma
aziendale che mi vieta certe menifestazioni "di stima".


 --
da me, il figlio dell'Amministratore delegato, dopo pochi mesi di vita..
non ha pronunciato MAMMA .....  ma ha detto 00101010101101010101010
e praticamente, sostiene il padre, aveva giŕ l'arte del computer a 5 anni.
E quando č cosě sono cavoli amari !
forza e coraggio.
Alessio
--
Piu' passano gli anni piu' m' accorgo che l'arte dello imparare e lo vizio
del sapere son spirito giovine.
Alessio