Newsgroup: it.comp.reti.cisco
Titolo: Router,firewall..... sw di gestione..

Salve,	avrei tanto bisogno di un aiuto.. Devo fare un esame..in poche
parole dobbiamo progettare il sistema informativo di un comune.. tra le
tante cose ci siamo posti il problema di attaccare la LAN del comune ad
Internet..quindi abbiamo bisogno di un router..tra i tanti abbiamo
deciso uno della cisco (uno dei migliori) dobbiamo scegliere il
modello.. ma siamo orientati sulla serie 2600(il 2651 è della serie
2600,vero?) dobbiamo prendere anche un firewall..la ns scelta cade sul
firewall hardware ancora della cisco (PIX 515e-R).. Quali software ci
serviranno per la gestione della rete?(CiscoWork versione 2.6 va bene,
vero?) Cos'altro ci servirà come sw? (Anche per la sicurezza) Un sw per
la gestione degli accessi quale il Cisco Secure Access Control Server? 
Ma dobbiamo mettere il firewall "prima"del DBServer o prima del DBServer
e del WebServer? Se lo mettiamo prima del DBServer chi accede da casa
puo' collegarsi al webServer e magari fare delle interrogazioni strane
al WebServer (questo puo' accedere al DBServer?Per lui non varrebbe il
firewall?) per poter accedere al DBServer e quindi cadrebbe la
sicurezza? Praticamente..il firewall puo' filtrare anche le porte e
quindi le applicazioni e non sono gli indirizzi IP,vero? 
Ops..dimenticavo... ma per abilitare le varie funzionalità dei router o
dei firewall devo prendere dei moduli particolari?   Scusate la
confusione ma tale mondo è davvero vasto!! Persone senza esperienza si
trovano spiazzate.. Mi servirebbe qualcuno che abbia toccato con mano...
Vi ringrazio..	Rita

e rivolgersi ad uno del mestiere..???.. rischiate il penale se poi vi bucano
la rete !!!!
regards
Alessandro Bardelli

sorry non avevo visto la parola "ESAME".....
Comunque :
Analizzare meglio la situazione:  (consiglierei il libro di Dario Forte per
iniziare, semplice coinciso per chi inizia)
Cosa devi proteggere ?
Che rischi corri ?
Che danni rischieresti in caso di attacco a bersaglio.
Chi sono i tuoi utenti
che servizi distribuisci ? (reali necessità aziendali !! )
POLICY AZIENDALI !!!!!!!!! La sicurezza è sopratutto un problema
organizzativo, poi tecnico, Imperativo Tutto ciò che non è previsto e
necessario = VIETATO
POLICY AZIENDALI (bis) TUTTO NERO SU BIANCO e CONTROFIRMATO
Che tipologia di rete, (dimensioni, struttura,velocità,..etc. etc)
etc etc. etc.....
Riguardo alle domande "dove mettere etc. etc" beh......DIPENDE....,
solitamente meglio mettere i server Dietro il Firewall, a meno che tu non
voglia mettere sù un "Honey Pot" per vedere qualche giovanotto all'opera sui
server del Vs. Comune.... :-)...... riguardo le architetture delle
protezioni perimetrali trovi mooltissima doc. sul web, trovi purtroppo
alcune soluzioni un po' superate come la DMZ fra  2 FW  (Bagno di sangue).
Se devi pubblicare i server sul Web prevedi una DMZ , se poi hai server o
dipartimenti "particolari" come un DBServer o anagrafe , forse è meglio,
oltre ad escluderli totalmente dal web, prevedere dei firewall
dipartimentali  per proteggere in modo più efficace tali aree ,  anche
dall'interno,....non dimenticare che...., statistiche alla mano, sono più i
casini combinati dall'interno che dall'esterno...
Un firewall solitamente permette di definire regole in modo diverso ed in
funzione delle sue caratteristiche , se usi un prodotto FW come  CheckPoint
l'elasticità e la granularità del controllo che hai sulle regole e sui log
è enorme ( non dimenticare un SYSLOG Server , a parte e ben Blindato, è
vitale raccogliere le info che arrivano dai vari apparati e sistemi di
sicurezza, sopratutto perchè in caso tu riceva un attacco e relativi danni ,
l'unica prova che hai sono i log , ergo il log deve essere credibile se vuoi
andare per vie legali, se il syslog server  su un PC utilizzabile da
chiunque e quandunque, non chiuso a chiave e utilizzato per navigare in
internet , puoi solo leccarti le ferite e fare una segnalazione di abuse,
sperando che chi ha fatto i danni non ci riprovi nuovamente) , se, al
contrario, utilizzi un appliance tipo Sonic Wall la semplicità e la facilità
(sempre che sia facile) della configurazione e gestione la paghi in minore
feature sopratutto sulla gestione delle rules e del log (oltre ad altre
cosettine di non secondaria importanza).
Non ho letto la voce "Sensori Intrusion Detection", il firewall fa un
controllo formale (scusate l'estrema semplificazione) ,il controllo del
contenuto e delle intenzioni lo fai con un IDS...se devi pubblicare un
server Web o di Posta o peggio DB Server , allora è  meglio prevedere
Intrusion detection nella rete e sui server.
Non dimenticare la parte di Hardening sulle macchine !!!!!
Personalmente preferisco dividere Router e Firewall e IDS  ... ogniuno fa il
suo mestiere....però all'occorrenza ed in talune raltà (piccole)....:-)
possono andare anche i router con le feature di Fw , in alcune realtà un
Router Zyxel da 250 ? con i filtri attivati e configurati basta ed avanza,
in altre magari è meglio un "Frigorifero" della Nokia o della Cisco....
Per gli accessi dall'esterno ???? servono davvero ??? , nel caso la risposta
sia SI...allora IPSEC gestito a livello di Firewall,   se le utenze non sono
troppe.Una ricerca sul Web Vi potrebbe chiarire le idee, alcuni prodotti
fanno miracoli: -), Certamente CISCO è grandissima ma non è l'unica che
produce sistemi di sicurezza per la rete....(Firewall e IDS) forse ne
esistono altri....:-) (forse  non è il NG giusto per affermare questo)
Il modello del router come quello del firewall, dipende dal carico di lavoro
e dalla destinazione d'uso, le specifiche tecniche possono aiutare ma
attenzione alle prestazioni nominali , ho visto schede tecniche di firewall
da 1000 ? dichiarare prestazioni un poco esagarate.., poco credibili per
macchine con processore da 133 Mhz , 16MB di Ram ....Come 20 Tunnel VPN, e
20 MBits di banda in 3Des, 75 Mbits garantiti fra le porte Lan e wan  , 6000
connessioni contemporane etc. etc.....
Domanda riguardo Cisco Work 2000 ????...a cosa vi serve, cosa dovete gestire
e monitorare ???... Tutto quello che non è strettamente necessario è
deleterio e pericoloso.......
A proposito : 
http://www.cert.org
 trovate molta documentazione sulla
sicurezza
Dulcis ma non ..in fundo.....un buon Vulnerability Scanning e relativo Pen
test, programmato a tempi fissi dovrebbe essere d'obbligo per un comune !!!
il tutto salvo Errori e/o Omissioni
Buon Lavoro
Alessandro Bardelli