Newsgroup: it.comp.sicurezza.windows
Titolo: [firewall e sql server] soluzioni teoriche e pratiche

Salve, spero di essere nel gruppo giusto :)
il mio problema e' questo, dovrei dare la possibilita' di interagire con un 
applicativo che e' basato su sqlserver su una macchina Windows 2000 server.
E fin qua direte "che c'entra con noi?".
Il bello arriva adesso :)
devo far accedere all'applicativo da parte di alcuni client esterni al 
network aziendale, anzi a dir la verita' mi interessa solo far accedere ad 
alcune funzionalita' molto limitate dell'applicativo.
Ma la rete com'e' configurata ? dunque c'e' un collegamento HDSL 
predisposto da Telecom con il loro bel router.
Visto e considerato che NON e' il caso di mettere il server su un ip 
pubblico, voi come agireste ?
Io avevo pensato di mettere un server pubblico con una doppia scheda di 
rete (una con ip pubblico, l'altra con l'ip privato).
Mediante questo serverino web, avrei creato una piccola web application che 
mediante un collegamento DSN al database SQL presente sul server "interno"
permetteva ai client esterni di interagire al database. (ovviamente 
l'elenco dell'utenza era da fare sul server "interno"). Il tutto potrebbe 
avvenire (se mi passano il progetto) mediante delle query sql.
Vorrei sapere se una configurazione del genere e' abbastanza sicura o se ho 
trascurato qualche aspetto!
-- 
Gareth Jax

trascurato qualche aspetto!
Non deve essere possibile asservire l'applicazione "pubblica"... ad es.
uploadando ed eseguendo codice od ottenendo una pseudo-shell. Se no, ti
porti il morbo in casa. Considera l'esecuzione di _tutto_ da un FS read
only. Dato che la macchinetta firewall avra' un sacco di CPU libera, e'
possibile dedicarla a un sistema di monitoraggio continuo (connessioni,
processi attivi, richieste in transito).
Tutti i dati in arrivo sull'applicazione di frontiera vanno considerati
potenzialmente dannosi e soggetti a controlli (a) sulla dimensione, (b)
sulla struttura. In caso di verifica negativa (es.: chiedi un login, ma
ti arriva una filza di 8192 "A"), puo' anche essere divertente inviare,
in risposta, una falsa pagina di errore che parli di protection fault o
accesso non consentito. Cosi', il baldo minatore non puo' sapere quando
ci azzecca e quando la macchina lo prende per il sellino :-)
Leonardo partito per la tangente
-- 
Vuoi guadagnare navigando? ARRUOLATI IN MARINA

Leonardo partito per la tangente
:)))))))
comunque sia grazie e aspetto altri pareri.
-- 
Gareth Jax

hmmm hai qualche applicazione in mente da suggerirmi ?
No; potrebbe essere la stessa applicazione "ponte" che provvede ad
auto-monitorarsi. In piu' ci sono vari componenti sia VBX che OCX,
che consentono di sapere quali altri programmi sono in esecuzione,
che connessioni di rete sono attive, su che porte, eccetera.
Leonardo


:

vabbe' considera che non esisterebbe neanche la sciccheria di dire "ho 
fatto un defacement" perche' il tutto sarebbe un sito web di 4-5 pagine, 
con l'intestazione "Gestione ordini" :)
A parte queste pinzillacchere sull'appetibilita' da hacker, quali sono le 
effettive possibilita' che qualcuno arrivi sulla macchina che chiameremo 
"front-end" (perche' in fondo e' quello che fa), e possa agire in qualche 
maniera sul resto della rete ?
Ti prego Leo, dammi qualche info decente. Nell'ultima settimana mi e' 
toccato leggere l'introduzione di un progetto per questa cosa, e a parte 
che hanno proposto un investimento + di 50 MILIONI, per mettere in piedi 
questa struttura, leggendo l'introduzione si capisce quanto sono esperti 
quelli che l'hanno proposto.
-- 
Gareth Jax

maniera sul resto della rete ?
Dovrebbe riuscire a prendere il controllo del front end, e mandare in
esecuzione un GROSSO pezzo di codice trojan - cosa che puo' fare solo
uploadandolo. Con IIS si puo' fare, ma se c'e' un monitor del disco e
questo monitor vede cose che non dovrebbero esserci (tipo files .EXE,
dato che ben difficilmente il nostro lamah va ad uploadare codice PE,
o .DLL, o estensioni similari) non e' affatto facile riuscirci.
Poi bisogna convincere la macchina front end a diventare un Giuda, il
che richiede buone conoscenze e poter aprire connessioni da quel PC a
tutte le altre macchine della rete. Il firewall sulla macchina pero',
ovviamente, NON consente aperture uscenti verso porte diverse da 80 o
dalla porta per l'SQL, e chi ci prova ottiene solo di generare un bel
riavvio preceduto da un allarme amministrativo. E fermare il firewall
naturalmente ottiene lo stesso effetto.
Diciamo che occorrerebbe un lavoro paziente di sminatura, e preceduto
da un notevole lavoro di intell - i.e., avete una talpa in azienda, e
pure dannatamente competente e motivata.
