Newsgroup: it.comp.sicurezza.windows
Titolo: Tentata intrusione..

Ciao a tutti,
Volevo sottoporre anche a voi l'angoscioso quesito..
Stavo spulciando ben bene tutte quante le entry nell'event viewer alla voce
security, su un server Nt 4.0 (ohimè) con su IIS 4.0 (Ri-ohimè) in housing
presso una società.
E ad un certo punto mi saltano agli occhi venti minuti di tentativi
ininterrotti d'accesso via netbios... alle 02 di notte.
Il fatto che mi ha preoccupato è che "il signore" in questione, ha tentato
di accedere *con tutti i nomi utente* registrati sulla macchina (e non dico
administrator..dico anche nomi utenti impossibili da indovinare se non per
una mente perversa...roba tipo "bubbu".. non so se mi spiego).
Com'è possibile che sia venuto a conoscenza di *tutti* i nomi utenti
presenti sulla macchina?
Ricordo che su una macchina nt è possibile al massimo vedere le risorse
condivise ma non i nomi utenti..
Per la cronaca..ha tentato di accedere anche come Iusr_nomemacchina e
Iwam_nomemacchina.. ma questi due sono scontati con IIS *credo*. :)
Ho  guardato la copia di backup del sam, e ho visto che è troppo vecchio, e
contiene soltanto gli utenti Guest e Administrator.
Quindi non li ha presi da li..
Domani cercherò di *spiegare* alla società in questione che non è bello
tenere un server con netbios attivo per tutti (sembra uno slogan politico)..
in caso si rifiuti di chiudere il servizio, come posso evitare che i nomi
utenti vengano visti da utenti ..che teoricamente non dovrebbero farlo?
Non son riuscito a risalire all'ip in alcun modo (soltanto al nome dominio,
al nome utente inserito, e al nome della postazione che utilizzava..le robe
classiche che logga eventvwr). Non c'è modo di ottenere gli ip di chi cerca
di accedere via netbios?
Vi ringrazio in anticipo ..perdono le eventuali bestialità pronunciate ma il
sonno è veramente troppo :)
--
--=See ya in the pit =--
Rents

 di accedere via netbios?
Spiacente... no way. Al limite puoi usare un personal firewall che ti
faccia il log delle sessioni tcp (symantec).
Fabio

 un'occhiata nei consigli del sito microsoft dedicato alla sicurezza.
Fabio, volevo chiederti: questo tipo di informazioni e' possibile
ottenerle anche con il netbios disabilitato ?
Oppure se lo disabilito son tranquillo ?
Danny

 Volevo sottoporre anche a voi l'angoscioso quesito..
Prova a leggere qui:
http://www.microsoft.com/technet/treeview/default.asp?url=/technet/security/
tools/chklist/w2ksvrcl.asp
(copia tutto ed incolla nel browser, non cliccarci sopra e basta)
poi a sinistra c'e' il corrispondente link per Windows NT
Danny

 e riavviando il computer.
Se non ricordo male, il valore "2" per ra funziona (o e' supportato...
boh) su 2000, mentre solo "1" va bene per nt.
Ora ricontrollo :)
A.
icq# 18752702
-- 
questo articolo e` stato inviato via web dal servizio gratuito 
http://www.newsland.it/news
 segnala gli abusi ad 
ab...@newsland.it

 boh) su 2000, mentre solo "1" va bene per nt.
Ricordi benissimo: assegnare 2 in nt non ha alcun effetto.
Il valore corretto e' 1. E' un po' che non lo faccio sugli
nt. Spiacente Mark Renton: se avevi gia' fatto la modifica
ti tocchera' riavviare un'altra volta il server :-)
Fabio


Una precisazione:
Disabilitando il servizio di "remote registry service"
in Windows 2000 Server, si disabilita proprio *completamente*
cio' che invece si "restringe" applicando la chiave di cui sopra... ?
Danny

 faccia il log delle sessioni tcp (symantec).
Non è cosi importante..al più presto chiederò di *eliminare* netbios almeno
all'esterno..
Ciao e grazie tante :)


 ti tocchera' riavviare un'altra volta il server :-)
Nonono non l'avevo ancora fatta.... ma provvederò al più presto :)
Mi dispiace ma prima OE (sigh) mi ha infilato il messaggio dove non
doveva..ovvero sotto una risposta di Danny :)
Per non creare un altro messaggio ringrazio qui anche Danny per il link
consigliato !


 cio' che invece si "restringe" applicando la chiave di cui sopra... ?
No, sono funzioni diverse. Con windows 2000, pero', puoi usare il
valore 2 per restrictanonynous, che e' ancora piu' restrittivo di
quello che puoi fare in nt. In pratica disabilita' la connessione
a questo tipo di servizio se non sei autenticato, mentre usando 1
limiti solo l'enumeraizone di utenti/gruppi.
Per la cronaca in win2k queste opzioni sono impostabili anche con
l'interfaccia grafica.
Fabio

 Oppure se lo disabilito son tranquillo ?
Su windows sei tranquillo. Su 2000/XP no.
Fabio

 Fabio
Fabio, fammi sta cortesia, dimmi dove si deve andare con Win2k Server,
per impostare la restrizione con l'interfaccia grafica.
Danny


Ho provato con il Regedt32... ora il valore restrictanonymous e'
= 0 , se ci clicco due volte e metto 2 quando do l'ok mi visualizza
0x2 ... va bene cosi'?
Un Danny che ha na fifa di combinar casini...

 wrote in message
news:MPG.1819e0f2e...@powernews.libero.it...

Ci sto uscendo pazzo :-)
Sono appena andato a rileggermi per l'ennesima volta il documento
http://www.microsoft.com/technet/treeview/default.asp?url=/technet/security/
tools/chklist/w2ksvrcl.asp
dove dice
Restrict access to public Local Security Authority (LSA) information
ed il valore che dice di mettere e' 1 anche per Windows 2000...
e invece e' meglio metter 2 ?
Io vorrei proprio che sto server Windows 2000 fosse possibile
configurarlo in modo che *non* abbia bisogno di accessi se
non quello dell'administrator "in locale".

 per impostare la restrizione con l'interfaccia grafica.
Cercartele da solo no, eh?^NCertamente. Le puoi trovare a colpo sicuro
con 
www.microsoft.com/technet
^
Wwww.google.com
^W^Wnell'applet di mmc di
nome "Impostazioni protezione locale":
Strumenti di amministrazione->
	Impostazioni protezione Locale->
		Opzioni di protezione->
			Restrizioni addizionali per connessioni anonime
bofh^WFabio

> 0x2 ... va bene cosi'?
Si. E' un valore DWORD.
Fabio

 e invece e' meglio metter 2 ?
Lo avevo gia' scritto in questo post: 
news:MPG.1819e0f2e...@powernews.libero.it
Con 1 impedisci solo di enumerare gli utenti attraverso connessioni
anonime mentre con 2 impedisci del tutto le connessioni anonime.
Fabio

 wrote in message
news:MPG.181df23fe...@powernews.libero.it...

Mea culpa. Devo imparar meglio l'inglese. Grazie, cmq
Danny