Newsgroup: it.comp.sicurezza.windows
Titolo: Domanda sui firewall

Se configuro il mio firewall per bloccare tutte le connessioni in uscita,
eccetto la porta 80 (magari anche la porta del DNS che non ricordo), e
tutte le connessioni in ingresso, diciamo che potrò solo navigare su Web e
nient'altro. Sono praticamente in una botte di ferro...
Però, per un qualche motivo, installo un malware che comunica con l'esterno
proprio tramite la porta 80. Questo malware farà il suo lavoro senza che
il firewall, così configurato, mi possa proteggere.
Come si risolve questo problema? Probabilmente aprendo la porta 80 soltanto
ad alcuni programmi, per esempio a Firefox. Solo questa applicazione potrà
comunicare con l'esterno utilizzando la porta 80.
Però non tutti i firewall permettono di aggiungere delle regole associandole
alle applicazioni. Per esempio, il tanto decantato (dai guru) firewall CHX
non mi sembra permette di collegare una regola ad un'applicazione piuttosto
che ad un'altra.
E' corretto il mio ragionamento?

 questo requisito)
Avevo già sentito parlare della stateful inspection, ma non credo risolva
il problema da me citato.
Con il controllo stateful il firewall considera il pacchetto che transita
non come un'entità isolata ma all'interno della sua connessione TCP: è un
pacchetto in uscita che vuol iniziare una connessione (SYN bit attivo)?
E' un pacchetto in arrivo riguardante una connessione TCP già attiva con
il computer? Ecc. ecc.
Penso che il mio problema si risolva con un firewall che abbia anche
conoscenza dell'application layer, quello che wikipedia chiama
"application level proxy firewalls".
Il firewall CHX è sia stateless (o statico) che stateful (o dinamico) ma
non mi sembra che possa bloccare i pacchetti a seconda del programma
(applicazione) che li ha generati... o sbaglio?

 programma  (applicazione) che li ha generati... o sbaglio?
Il firewall CHX è un packet filter con motore stateful ed ovviamente
NON lavora a livello applicazione; per un filtraggio di questo tipo
ti servirà aggiungere il CHX-I "Security Toolkit" che puoi scaricare
da qui 
http://www.idrci.net/chxisuite2.8.2.msi
 il toolkit permette di
analizzare il payload dei pacchetti ed utilizzare delle signatures
per gestire (permettere, negare ..) il traffico .. e fa anche molto altro
(es. portknocking ed altro ancora)
ciao

E' corretto il mio ragionamento?
Si', ma e' incompleto. Alcuni browsIEr dispongono di API piu' o meno note
che un programma esterno puo' usare per "telecomandarli"; in quei casi in
cui il browser ha componenti integrate nel sistema operativo e' possibile
anche che tu non t'accorga di nulla, mentre il trojan effettua un fisting
estremo contro il browser e lo telecomanda dal di dentro, tipo burattino.
In questi casi, un inizio e' usare software tipo BHODemon o HijackThis, e
poi ti ci vorrebbe un antivirus aggiornato in grado di impedire al bestio
di _entrare_ sul PC.
Leonardo
-- 
Dawn is near, the time is short (Human aircraft! Hard to port!)
We eight reindeers of the night work as one in silent flight.
Let not one damn house pass by (Who taught that guy how to fly?)
Each year sees more girls and boys: how many of them can we bring toys?

 avere altro da dirti.
Ok, spero nell'aiuto di altri... ciao.

 (es. portknocking ed altro ancora)
Ok, lo proverò.
Un'altra domanda: ma che fine ha fatto il forum di CHX? E i template
di cui si parla e che io non ho trovato nel mio pacchetto di
installazione?

 di _entrare_ sul PC.
L'antivirus c'è (avast!) ma non capisco come alcuni malware sono
riusciti ad
entrare lo stesso... mboh! Ecco perché stavo indagando sui firewall.

riusciti ad entrare lo stesso... mboh! Ecco perché stavo indagando sui firewall.
Un'altra possibilita' e' che l'antivirus non sia abbastanza aggiornato, il
che, con le ultime "trovate" che arrivano ogni poche ore, e' possibile.


 pacchetto di installazione?
Sinceramente non lo so; è parecchio tempo che non sento
più "Stef" (uno del team di IDRCI) quello che posso dirti è
che lo scorso anno IDRCI è stata acquisita da 3rd Brigade
(
http://www.thirdbrigade.com/
) e sospetto che i tizi di "3rd"
stiano cercando di "mettere fuori mercato" i prodotti IDRCI
inglobandoli nelle proprie suite di sicurezza (costo: $$$)
non so se Luca Sasdelli sappia qualcosa in più dato che
è (era ?) distributore unico per l'italia dei prodotti IDRCI