Newsgroup: it.comp.reti.cisco
Titolo: PIX e Livello 7

Ciao a tutti!
da un po' di tempo una domanda mi assale, e a chi chiedere se non ad un 
gruppo di persone che conosce il prodotto alla perfezione! :)
Il PIX è un firewall non di livello 7, giusto? non riesce a riconoscere 
le stringhe contenenti attacchi, a gestire proxyes, a integrare 
antivirus, autenticare gli utenti, etc etc
praticamente blocca le porte, gestisce le vpn e blocca da ip o da mac 
address, giusto?
o da che livello (economico) inizia a farlo?
tnks :)

Mah.... In effetti un PIX ha un meccanismo denominato ASA (Adaptive Security 
Algorithm) che è in grado di arrivare anche al livello 7 ed interpretare i 
comandi delle applicazioni più note. Ad esempio dai messaggi di connect di 
FTP riesce a capire quale porta il client aprirà per i ricevere dati da un 
server. Certo è che soluzioni Software tipo checkpoint riescono ad essere 
più flessibili ed "inseguire" in modo tempestivo la nascita di nuove 
applicazioni.
"cl4x" <ad...@TOGLIMIar4inn3.com> ha scritto nel messaggio 
news:iMZJe.10606$F23.1...@twister2.libero.it...


 applicazioni.
Perche' sul PIX non gira forse del software? :)
ciao
-- 
Luca Corti
PGP Key ID 1F38C091
BOFH excuse of the moment:
bad ether in the cables

 Perche' sul PIX non gira forse del software? :)
asp asp, 1 secondo ;)
io parlo di firewall hardware di livello 7 in grado ad esempio di aprire 
i pacchetti e scovare un tentativo di buffer overflow.
Per intenderci, per assurdo, non me ne volete, ma che differenza c'è tra 
un dlink e un PIX ? solo il prezzo e il marchio? perchè alla fine il PIX 
apre e chiude porte. con MSMSN o YahooMSN per assurdo hai saltato un PIX 
semplicemente riversando sulla 80?
spero di no :)

> Perche' sul PIX non gira forse del software? :)
Certo, il Finesse che č il SO.... intendvo dire che Ckeckpoint Firewall-I mi 
č parso piů rapido nell'aggiornamento ed č imoltre un software in tutto e 
per tutto, mentre il PIX ha il suo HW dedicato.

 antivirus, autenticare gli utenti, etc etc
ciao gli attacchi sono una cosa i proxy e l'antivirus anche.
La nuova versione 7 implementa il controllo sui contenuti e/osulle 
applicazioni a livello 7.
Cerca su sito del produttore il datasheet del nuovo ios ...
e poi puoi sempre integrare prodotti di terze parti....
ciao giodi

 applicazioni a livello 7.
- cercherò di riassumere ciò che con il fantastico google gruppi ho perso -
hai perfettamente ragione, però ora io chiedo a voi esperti:
- non vi sembra che lo sviluppo del cisco PIX sia rimasto notevolmente 
indietro rispetto ai competitor? filtraggio da ip e (soprattutto) porta 
è un metodo ormai estremamente obsoleto e poco efficace per proteggere 
una rete.
- che differenza sta (obiettivamente) tra un firewall integrato dlink o 
un digicom da 60 euro prezzo al pubblico e un PIX? a parte che è 
marchiato cisco e che costa 10 volte di più, ovviamente.
il mercato del firewalling si divide in 2 rami:
Entry level:
- tutti i firewall, router, wireless, macchinetta del caffè intergrata 
etc - per intenderci: i firewall che filtrano da ip e porta, a volte con 
mac address
- i firewall esclusivamente SI e DoS/DDoS/Flood prevention
es. Digicom, Dlink, tutti i router con funzione di firewalling..
Fascia professionale:
- controllo analitico dei pacchetti alla ricerca di codice maligno, 
exploit, attacchi, spoof etc (e questa è la vera protezione)
+++e in più hanno (e sono caratteristiche che si addicono molto ad un 
prodotto per la sicurezza, questo non possiamo eluderlo solo perchè 
cisco non lo fa)+++
- filtro sui contenuti http (es: siti per adulti)
- controllo di dumping di porta (es: MSN che si incapsula sulla 80)
- antivirus e antispam
etc etc
es. NetASQ, Fortinet, Check Point, Symantec (solo a livelli abbastanza 
elevati), SonicWall..
ora, io mi auguro di no, e credetemi, ma ad essere obiettivi.. dove si 
colloca il PIX 501 ad esempio? datasheet e features ad occhi chiusi lo 
mettono tra i firewall di entry level, quelli per intenderci che un MSN 
bypassa salutando dietro. Forse con il nuovo IOS MSN non la fa franca, 
ma un exploit, un buffer overflow e via dicendo non se lo vedono proprio.
spero di essere smentito, perchè continuo a cercare un motivo (non 
commerciale) al prezzo del PIX assolutamente elevato per ciò che 
continuo ad avere conferme che realmente è: un firewall obsoleto con un 
marchio verde.
per inciso, io adoro cisco e penso che realmente non ci siano dubbi 
sugli altri apparati di rete come i router (amen), gli switch e tutto il 
resto.
vi prego di smentire questa teoria (con dati di fatto, ehm non perchè 
PIX è Cisco :p ) perchè sarebbe disarmante trovarsi ad aver fatto 
un'analisi corretta.
a voi :)
cla

Per qualche info....
http://www.icsa.net/html/communities/firewalls/index.shtml
Ciao
Don
------------------------
http://www.ciscoshop.it
 

Purtroppo di recente ho dovuto mettere le mani su due PIX e li trovo
davvero pazzeschi e cervellotici.
Ammetto di non avere fatto corsi o di essermi affiancato a qualcuno
"che sa" ... quindi di essere un ignorantone, però la gestione della
sicurezza di base (rule base e transaltions rules) su un Checkpoint è
molto intuitiva. Su un PIX direi proprio di no.
Poi il mondo è bello perchè è vario: c'è gente a cui piace VI
editor ...
;-)

 Poi il mondo è bello perchè è vario: c'è gente a cui piace VI editor ...
ciao marco74,
vorrei dirti solo due cosette ...
1 su questo news ti consiglio di rimanere piu tranquillo ...
(non gridare chiedi, impara e trai le tue conclusioni)
2 mi sembra che non hai capito come sufruuti meglio il pix ...
(cercati qualche comparazione e/o benchmark ...)
3 ho parlato di terze parti ... arrivi allo stesso livello o piu.
devi pensare che oggi arrivano virus e trojan a bizzeffe ...altro che 
firewall con antivirus ...e poi msn con la 7 lo blocchi
anche sulla 80 ... e non solo quello...
ciao giovanni
p.s qui é meglio non parlare male di VI,
e poi trovami qualcosa sotto dos di 23 anni fa e paragona ....
é un editor e basta ...
sai anche su server win se vuoi usi comandi e script ...

Perdona lo sfogo, in effetti hai ragione sul tono.
La motivazione che ci sta dietro è questa: sicuramente una grande
versatilità si paga con  elevati livelli di complicazione, però
secondo me si dovrebbe "complicare" solo dove serve. Se voglio fare una
nat o una regola dovrei avere una via facile.

 3 ho parlato di terze parti ... arrivi allo stesso livello o piu.
si ma ad un imprenditore che sceglie di spendere 700 euro (non si 
installano da soli) sai come fa piacere di avere un antivirus 
centralizzato, un blocco sui siti per adulti ai suoi dipendenti etc..
cisco non crea standard, non è inutile solo perchè cisco non lo fa.
alla fine, e davvero vorrei ciò non fosse vero, un pacchettino 
contenente una stringa per generare un buffer overflow per un server 
apache, un firewall di livello 7 lo blocca, il pix, che sia da 11.000 
euro o da 480 euro, no.
perchè questa deficenza? non è un termometro che indica che tutto il 
pianeta non può girare su IOS, che per fare alcune cose l'IOS è obsoleto 
e non è strutturalmente predisposto ad un'analisi che non sia solo 
dell'header dei pacchetti?


Il link non funziona.


Prova con 
https://newlabs.icsalabs.com/icsa/product.php


Non funziona neanche questo!
Lollllloooo :)
ciao
"don" <d...@don.don> ha scritto nel messaggio 
news:de1a5s$a54$1...@newsreader.mailgate.org...


Nuovo tentativo....
https://www.icsalabs.com/icsa/icsahome.php
Don
------------------------
http://www.ciscoshop.it
 

 per tutto, mentre il PIX ha il suo HW dedicato.
Sinceramente non capisco cosa intendi. potra' avere al massimo
dell'hardware che acceleri certe funzioni, degli AISC, ma il tutto e'
comunque gestito via software.
Se invece per hardware dedicato intendi l'oggetto PIX, bhe, di base e'
un PIII con schede di rete Intel...
