Newsgroup: it.comp.sicurezza.windows
Titolo: IP Pubblici server Wsus Microsoft

Ciao a tutti,
devo fornire gli ip pubblici ai quali si collega il mio server wsus su 
Microsoft per poter configurare delle regole per bypassare proxy e 
relativo content filtering.
E non posso nemmeno tracciare le porte aperte sul mio server perchï¿œ non 
ho internet.
Sto cercando con google ma non ho trovato un gran che, a qualcuno ï¿œ 
capitata la stessa necessitï¿œ?
Grazie.

 relativo content filtering.
Fattelo dire da lui; quando lanci il servizio fai un netstat -an e guarda a che 
ip si collega.
Pero' IMHO lavorare a livello di IP e' scorretto perche' se modificano i 
puntamenti rimani fregato. Lavora a livello DNS finche' puoi.
Rizio
-- 
Si dice che essere liberi significa non avere nulla da perdere...sembra facile a 
prima vista...ma la veritï¿œ ï¿œ che non avere nulla da perdere significa essere 
pronti a rischiare tutto ciï¿œ che si possiede.

 puntamenti rimani fregato. Lavora a livello DNS finche' puoi.
Sï¿œ, mi rendo conto che cosï¿œ ï¿œ pericoloso.
Quindi che DNS gli dovrei dire per i server wsus microsoft?

 Quindi che DNS gli dovrei dire per i server wsus microsoft?
io ho messo in ALLOW questi domini:
.
windowsupdate.com
.
microsoft.com
anche se credo che il wsus possa essere interessato solo dal primo (non ho 
implementato quel servizio percio' non ti so dire esattamente a cosa punta)


 relativo content filtering.
Credo proprio che non ci sia un set definito di IP e credo anche che MS li cambi
a sua discrezione (del resto il sistema DNS serve a questo).
Non puoi permettere al server di uscire su Internet tout court?
Ciao,
luigi
-- 
/
+--[Luigi Rosa]--
\
INTERFACCIA GRAFICA: Uso creativo di menu a tendina, disegnini e mouse
  per far incazzare definitivamente le vecchie volpi smanettone.
    --Pietropaolo Bianchi

 implementato quel servizio percio' non ti so dire esattamente a cosa punta)
Grazie Mille

 Non puoi permettere al server di uscire su Internet tout court?
Eh, magari! Sarebbe un sogno!!
Grazie

 Eh, magari! Sarebbe un sogno!!
Fatti aprire una sola porta e tunnellizza una VPN verso un altro server esterno
su quella porta.
E fanculo a tutti!  :)
Ciao,
luigi
-- 
/
+--[Luigi Rosa]--
\
Moneypenny: In the conference room. Something pretty big.
Every double-o man in Europe has been rushed in.
And the home secretary too!
James Bond: His wife probably lost her dog.
    --"007 Thunderball"

 bypassare proxy e relativo content filtering.
non esiste :) i servers di WU sono in balancing e Microsoft
usa anche dei providers terzi per ospitare i dati per cui non
puoi impostare un set di IP a priori

ObiWan

quindi se un CED ospedaliero (che due coglioni che sono con sta 196) mi 
domanda verso quali siti mi deve "aprire" internet, io che gli rispondo 
per quanto concerne il mio WSUS?

 per quanto concerne il mio WSUS?
Potrebbe essere anche il CED di Obama o del Papa, ma se la cosa e' tecnicamente
una fesseria, tale e'.
Ciao,
luigi
-- 
/
+--[Luigi Rosa]--
\
A computer scientist is someone who, when told to "Go to Hell" sees
the "go to" rather than the destination as harmful.
       --Dr. Roger M. Firestone

 tecnicamente una fesseria, tale e'.
Sono troppo d'accordo con te, Luigi, ma in che lingua pensi glielo 
potrei spiegare, secondo te?
E' l'unico CED in tutta italia che mi caga il cazzo in quella maniera. 
Incredibile.
L'altra soluzione sarebbe sperare che abbiano un loro WSUS ospedaliero, 
nel caso in cui non mi dovessero aprire le porte della libertï¿œ sul 
mondo. :-)
Grazie a tutti.

 mondo. :-)
Una soluzione possibile potrebbe essere lavorare sul firewall inserendo una DMZ 
in cui metti il server WSUS.
C'e' del lavoro da fare ma cosi' puoi salvare capra e cavoli.


 C'e' del lavoro da fare ma cosi' puoi salvare capra e cavoli.
Il problema ï¿œ che per legge devono tracciare tutto. Tu mi dirai "eh ma 
il firewall ha i suoi log, e comunque anche le *get* dei siti 
visitati", ma il loro responsabile continua a dire che deve tracciare 
tutto tramite proxy che rilancia tutti su un content filtering.
Davvero, con questi qui, non se ne esce.
In altri ospedali, ALMENO I SERVER, sono aperti a tutto, giustamente.
Alla fine se succede qualcosa da uno dei miei server ï¿œ tutto tracciato 
lo stesso, quindi il problema di "avere traccia" non sussisterebbe.
Cmq grazie.

 proxy che rilancia tutti su un content filtering.
Cacchio, sono gli aggiornamenti di Microsoft!
O ti apre sul nome 
microsoft.com
 oppure ti offra un wsus suo a cui tu ti
attacchi, wsus lo permette.
Ciao,
luigi
-- 
/
+--[Luigi Rosa]--
\
Anytime you wish to demonstrate something, the number of faults encountered
is proportional to the number of viewers.

 Cmq grazie.
Np, si fa per par... scrivere


 attacchi, wsus lo permette.
Sï¿œsï¿œ certo, ï¿œ quello che ci siamo auspicati qualche scambio fa.
Vedremo, magari vi terrï¿œ aggiornati.
Altrimenti gli farï¿œ "una proposta che non possono rifiutare" (cit.)
;-)

 Np, si fa per par... scrivere
:-)

> In altri ospedali, ALMENO I SERVER, sono aperti a tutto
bella caxxata !

 internet, io che gli rispondo per quanto concerne il mio WSUS ?
gli spieghi che il WSUS va posto in DMZ e deve poter avere
accesso "completo" e gli spieghi anche che "accesso completo"
non significa "non loggato", gli spieghi inoltre che i servers non
sono fatti (come credono loro e i loro figli e parenti) per "navigare",
scaricare files dal mulo et similia e che comunque il semplice
filtraggio HTTP/HTTPS non serve ad una beata mazza dato che
lo si bypassa bellamente usando una QUALSIASI altra porta
aperta a meno che il sistema di filtraggio non includa un filtro
"Layer-7" che controlli l'effettivo payload del traffico

 bella caxxata !
Perchï¿œ scusa?
Almeno in questo modo se devo fare della manutenzione in loco, ho la 
possibilitï¿œ cmq di aver accesso libero in internet, consultare la 
posta, scaricare allegati o drivers. Chiaro, loro si fidano del mio 
buonsenso.
In altre circostanze posso essere d'accordo con te.

 "Layer-7" che controlli l'effettivo payload del traffico
esatto

 Chiaro, loro si fidano del mio buonsenso.
e visto quanto sopra, fanno male

 un server su di una rete privata va protetto *per definizione*
Si intendeva "permettere il fatto che il server possa accedere a Internet", non
viceversa.
Ciao,
luigi
-- 
/
+--[Luigi Rosa]--
\
It's a poor workman who blames his tools.

 e visto quanto sopra, fanno male
ok, stai trollando, ï¿œ chiaro.

 situazione attuale.
I lavori si fanno bene oppure non si fanno e si spiega al
cliente che per farli sono necessari determinati requisiti
in caso contrario non risolverai nulla, anzi incasinerai di
pi� le cose e ti guadagnerai una pessima reputazione

 Internet", non viceversa.
infatti, un server contenente i dati clinici dei pazienti o dati
sensibili
o segreti aziendali o quant'altro per definizione non deve poter avere
ALCUN accesso ad internet

 ok, stai trollando, � chiaro.
no, sono serissimo

 no, sono serissimo
e allora dovresti avere un pï¿œ di elasticitï¿œ mentale, a mio avviso.

 piï¿œ le cose e ti guadagnerai una pessima reputazione
Ecco questo mi fa pensare che non hai MAI avuto a che fare con gare 
d'appalto e capitolati.
LA SO anch'io la teoria, Obiwan, la pratica in certi ambienti ï¿œ 
completamente diversa. E lavorano cosï¿œ TUTTI, TUTTI.
Il discorso sulla "reputazione", e qui mi trovi concorde, lo fai con un 
privato, non con un pubblico. Questo lo comprendi, almeno?

 le cartelle cliniche dei pazienti :P
Bei discorsi accademici: un server per ogni applicativo, tre server per Active
Dirrectory, due server per i DNS, uno per l'antivirus, uno per il WSUS...
E, come dice CISCO quando fa le demo, "due per ridondanza".
Con questi discorsi che hanno come presupposto risorse infinite da New Economy
della bolla .COM sono capaci tutti di fare i sysadmin e i "professionisti".
Quando sei sul campo devi ottenere il massimo delle performace con quello che ti
viene dato. Corretto segnalare i problemi (anche per iscritto) perche' il
cliente sia consapevole dei rischi, ma predicare le regole teoriche di
architettura non serve ad un accidente nella vita di tutti i giorni. Del resto,
una volta reso edotto l'utente la responsabilita' e' sua e le decisioni finali
devo essere sue.
Ciao,
luigi
-- 
/
+--[Luigi Rosa]--
\
For every action, there is an equal and opposite criticism.

 completamente diversa. E lavorano cosï¿œ TUTTI, TUTTI.
Lo stesso che dice chi ha costruito le case a l'Aquila.
Hai presente quelle che sono venute giu'?
Oppure quelle belle casette nell'alveo del fiume dalle parti di Messina?
E' sconcertante questo modo di ragionare.
"Lo fanno tutti, lo faccio anche io".
"Cribbio" (cit.) e stai anche parlando di ambienti ospedalieri!
M.
-- 
Nessun Bit e' stato maltrattato
o ucciso per scrivere questo
messaggio

 luigi


 legate e ti "arrangi" con quello che hai.
No, il lavoro in certi casi semplicemente non lo faccio, vendermi
il cuBo a prezzi stracciati non � la mia filosofia; poi se a te questo
sta bene, per me non ci sono problemi, ma non venirmi a dire che
"� la prassi" perch� NON � vero

 ambiente ospedaliero) e' successa una disgrazia.
Gi�; un discorso � ottimizzare quello che si ha, un altro cercare di
fare
delle cose che richiedono ulteriori risorse; se ci sono i soldi � la
volont�
di farle, bene, in caso contrario, semplicemente, NON le faccio;
preferisco
evitare di guadagnare (poco) con un lavoro fatto MALE e che alla fine
della
fiera ti rovina la reputazione ... con il risultato che invece di un
guadagno ti
ritrovi con una perdita; e tieni presente (parlo con Luigi) che non
stiamo
parlando di un'aziendina con quattro operai che costruisce scatole ma di
un ente ospedaliero e di una rete che contiene dati SENSIBILI ... per
caso
la cosa ti fa suonare un qualche campanellino ? No ?
Ah e comunque, per rispondere a "Johnny", pensi male, ho avuto a che
fare
con gare e capitolati ma non sono mai andato al di sotto del mimimo
indispensabile
per poter essere certo di fare un lavoro come si deve; se poi qualcun
altro vuole
vendersi il posteriore e la reputazione per due soldi, libero di farlo

 ambiente ospedaliero) e' successa una disgrazia.
Ci sono dei responsabili che vanno resi edotti. Una volta informati la
responsabilita' e' di chi ha il compito di prendere le decisioni, visto che sono
li' per quello. L'informatico non deve fare il "so tutto io" e porsi problemi
che non e' chiamato a risolvere.
Ciao,
luigi
-- 
/
+--[Luigi Rosa]--
\
It is easier to run down a hill than up one.

 di prendere le decisioni, visto che sono li' per quello.
Gi�; in un mondo perfetto dovrebbe essere cos�, peccato che,
per lo meno in Italia, all'interno delle infrastutture pubbliche gli
sports preferiti siano la "delega" e lo "scaricabarile" e che coloro
chesono pagati per prendersi delle responsabilit� in molti casi
fanno di tutto per *evitare* di prendersele (e questo giusto per
darti un'idea del fatto che non sono esattamente "digiuno"
riguardo certi ambienti)

> "Lo fanno tutti, lo faccio anche io".
Nah, � anche peggio, vedi, ha parlato di gare
d'appalto e capitolati; ora... fino a che esister�
gente che, pur di aggiudicarsi una gara lavora
sottocosto mettendo in piedi (come in questo
caso) degli "accrocchi" pericolanti/pericolosi
La colpa � sia di coloro che scrivono i bandi di
gara, sia di coloro che, pur di vincere si inventano
cose da far accapponare la pelle
vabb�... tanto siamo in Italia no :P ?

 vabbï¿œ... tanto siamo in Italia no :P ?
Che comunque e' un bel paese, non solo per modo di dire.    ;)


 luigi
Ciao


 riguardo certi ambienti)
Quoto, ed aggiungo che proprio per questo ognuno dovrebbe fare la sua parte.


 "ï¿œ la prassi" perchï¿œ NON ï¿œ vero
Preciso che non ho una mia azienda, magari non l'avevi capito.
Ma la domanda ï¿œ: tu rinunceresti a milioni di euro per una questione di 
"etica informatica"? Soltanto perchï¿œ non si fa una DMZ come 
diocomanda??
Si libero di non credermi, questa ï¿œ la mia esperienza e confrontandomi 
con altre realtï¿œ, succede la stessa cosa.
Secondo te i pacs di AGFA, sono sicuri come dici tu?

 "Cribbio" (cit.) e stai anche parlando di ambienti ospedalieri!
Non hai colto la questione: i capitolati li scrive un minorato mentale, 
e tu, ti adegui ad ottemperare quello che c'ï¿œ scritto. Punto.
Quindi "Lo fanno tutti, lo faccio anche io", non mi appartiene.
Mi spiace, hai sbagliato persona.
La storia ï¿œ cosï¿œ per tutti i CED nei quali ho avuto a che fare.
Sei libero di non credermi.
Negli ambienti privati, farei quello che dice Obiwan, ma non perchï¿œ sia 
colui che dietene la veritï¿œ, ma semplicemente perchï¿œ ï¿œ ovviamente la 
maniera migliore per lavorare in sicurezza.

 "etica informatica"? Soltanto perchï¿œ non si fa una DMZ come diocomanda??
E con milioni di euro di commessa si mettono tutti i servizi sullo 
stesso server?
WSUS, DC e fileserve, con server connesso direttamente ad internet?
Ammazza che pulciari!
Si e' fatta l'ora del plonk


 riguardo certi ambienti)
E allora? Rischi una causa con la PA perche' non sei stato al suo posto e puoi,
quindi, fare da parafulmine per proteggere un dirigente incapace?
Perche' e' questo che succede.
Ciao,
luigi
-- 
/
+--[Luigi Rosa]--
\
Can anything be sadder than work left unfinished? Yes, work never begun.

 Non hai colto la questione: i capitolati li scrive un minorato mentale, 
Grazie per avermi dato del minorato mentale.
Potrei rispondere che li leggono degli incapaci.

 ospedaliero) e' successa una disgrazia.
ROTFL, muore?
Nel mio caso un angiografo funziona lo stesso per la sala.
Se poi il pacs non va, hai solo il problema che per una giornata la 
procedura rimane sull'angiografo. Stop.
Dai, almeno informati meglio prima di spararla cosï¿œ grossa.
Non ti pare?

 Si e' fatta l'ora del plonk
Evidentemente, hai poche argomentazioni.

 Potrei rispondere che li leggono degli incapaci.
Se tu leggessi certi capitolati che mi arrivano in mano, daresti del 
minorato mentale a quello che l'ha scritto.

 Che comunque e' un bel paese, non solo per modo di dire.    ;)
Ma per carit�; se togliamo le scorie radioattive, gli abusi edilizi
la corruzione, la ... uhm ... per� poi che diavolo ci rimane :D ?

Ma la domanda �: tu rinunceresti a milioni di euro
Non mi pare che "milioni di euro" rientri nella casistica di prezzi
stracciati.
A meno che Obi non ce l'abbia d'oro e brillanti, il cuBo...
Leonardo "e che �? Un NeXT?"
-- 
The cock doth craw, the day doth daw,
the channerin' worm doth chide:
gin we be mist oot o' oor place,
a sair pain we maun bide.

 Leonardo "e che �? Un NeXT?"
/me muore :D :D :D

 della bolla .COM sono capaci tutti di fare i sysadmin e i "professionisti".
Io ho un WSUS che gira su un PIII con 384MB, e gestisce gli
aggiornamenti per un po' piï¿œ di trecento fra PC e server. Se un
ospedale non puï¿œ permettersi per un WSUS anche solo una
vecchia baracca come quella, che volendo si puï¿œ trovare di terza
mano a dir tanto per venti euro, mi preoccupa pensare a quello
che puï¿œ spendere o meglio, che non puï¿œ spendere, per i pazienti.
Bye, G. 

 delle cifre spropositate, quello ï¿œ un altro paio di maniche.
Il server costa ~0, e il SW ï¿œ gratuito. L'unica vera spesa ï¿œ quella
del SO... e il fare il lavoro come Dio comanda.
Non metterlo su per bene significa non volerlo o non saperlo fare.
Bye, G. 

 Non metterlo su per bene significa non volerlo o non saperlo fare.
E' arrivato un altro supersistemista.

 che puï¿œ spendere o meglio, che non puï¿œ spendere, per i pazienti.
Ma nessuno mette in dubbio il fatto del *come* si possa realizzarlo.
Il problema ï¿œ che tu ditta esterna non puoi entrare in un CED di un 
ente pubblico e dire "adesso datemi le chiavi del vostro firewall che 
facciamo una bella DMZ per mettere il mio WSUS che me lo ha detto 
Obiwan e il suo amichetto".
Capisci?
Bisogna valutare DOVE vai a proporre determinate cose.
E non puoi nemmeno impuntarti e dire "o si fa come dice Obiwan e John 
Smith" oppure non metto giï¿œ il mio sistema.
Ma cazzo, stiamo scherzando???

 E' arrivato un altro supersistemista.
Rispetto a molti, moltissimi, sicuramente no.
Rispetto a qualcun altro, forse ho un tantino, giusto un tantino,
di esperienza in piï¿œ, chissï¿œ.
Bye, G. 

 di esperienza in piï¿œ, chissï¿œ.
Era per dire che dovresti seguire il discorso prima di proferire 
parola.
Tutto qui.

 qui.
FYI, ho letto *tutto* il thread prima di rispondere.
Certo, con le pause necessarie per smettere di LOLlare :-).
Bye, G. 

 Certo, con le pause necessarie per smettere di LOLlare :-).
Si ï¿œ scatenata una questione inutile, perchï¿œ nessuno ha detto che ï¿œ 
giusto mettere il WSUS su di un file server o quant'altro, NESSUNO.
Ho detto semplicemente che nel campo in cui lavoro, bisogna adattarsi. 
Punto. Qualcuno si ï¿œ indignato e qualcun'altro no.
Questa ï¿œ la vita.

 Il problema ï¿œ che tu ditta esterna non puoi entrare in un CED di un
Certo che non puoi farlo, o per lo meno non come lo hai descritto,
ma sicuramente PUOI richiedere delle modifiche all'infrastuttura di
rete nei modi e tempi opportuni, se poi non ti sei cautelato... affari
tuoi
Visto che ti consideri cosï¿œ esperto relativamente a bandi e capitolati
avresti dovuto pensarci prima

 pubblico e dire "adesso datemi le chiavi del vostro firewall che
Ah beh... dimenticavo... invece mettersi a "navigare", scaricare posta
e farsi gli affari propri da un server invece va benone vero ?
mavaaaaaa

 E lavorano così TUTTI, TUTTI.
Rotfl.

 vengono anche scritti bene
Anche, ma anche no, se posso permettermi di dire la mia che
sto generalmente dalla aprte di chi i capitolati li legge. :-)

 Economy
Ma non diciamo assurdità.
Risorse infinite perchè è sacrosanta la separazione *logica*?
Hanno inventato la virtualizzazione da un bel pezzo, nel caso
in cui fosse sfuggito a qualcuno.

 Internet", non viceversa.
Appunto.
Se il mio server deve fare da domain controller, ad esempio, non vedo 
perchè dovrebbe accedere a Internet, se non ad esempio, per risolvere
nomi, nel caso in cui faccia anche da name server.

 in cui fosse sfuggito a qualcuno.
Whippo... lascia perdere, ho la netta impressione che il tizio
oltre a sparar castronerie e tentare di mettere a tacere gli altri
(vedasi ad esempio il "non hai mai..." etc...) non abbia la pi�
pallida idea di ci� di cui sta (e stai) parlando, ergo non ha
alcun senso perderci tempo; trattasi della classica persona
che prima mette in piedi degli accrocchi mostruosi e poi se
la prende con CHIUNQUE abbia "scritto il software" (nel senso
di programma o sistema operativo - QUALUNQUE esso sia)
senza capire che in effetti � LUI a non averci capito una beata
un classico... peccato che di gente cos� ce ne sia tanta in giro,
di contro (e per fortuna) di solito hanno vita relativamente breve

 avresti dovuto pensarci prima
ROTFL
Non ï¿œ proprio cosï¿œ come di tu, Obiwan, l'esperienza mi dice che bisogna 
avere "flessibilitï¿œ", cosa che evidentemente tu non hai.

 in cui fosse sfuggito a qualcuno.
Si parlava di "zona dmz" per metterci il tuo server WSUS.
Quindi la virtualizzazione puï¿œ servirmi, ma a metï¿œ.
Il problema ï¿œ entrare in un CED e dirgli "scusa, mi crei una DMZ sulla 
tua infrastruttura di rete che ci devo mettere il WSUS?"

 bisogna avere "flessibilit�", cosa che evidentemente tu non hai.
si si.. certo, continua pure cos�, tanti auguri e ricordati di questo
thread quando, siccome le cose si incasineranno per benino
qualcuno verr� da te e ti obbligher� a "fletterti" poi semmai
ne potremo riparlare
adieu "esperto"

 tua infrastruttura di rete che ci devo mettere il WSUS?"
Come no.
Vuoi anche l'elenco degli account degli amministratori :-D

 con questi qui, 
Vafvry?
-- 
Sans

? ha scritto:

Il mio elenco degli amministratori ï¿œ ridottissimo: root.
Ok, Ok, mi plonko da solo! ;-)
-- 
           |Save our planet!
    Ciao   |Save wildlife!
   roberto |For your E-MAIL use ONLY recycled Bytes  !!
           |roberto poggi   
rpo...@softhome.net

 ne potremo riparlare
R O T F L
"obinostradamus"