Newsgroup: it.comp.sicurezza.windows
Titolo: Amministrazione remota Win2k Server...

Vi espongo il probblema (con due bb):
Dei clienti vogliono mettere il sito su macchina NT/2k perche'
ChiliAsp gli fa schifo e vogliono farsi il sito in asp...
Gli altri server sono delle Linux
La posta per quei domini la metterei comunque sulle Linux (gestione
per i clienti: qmailadmin), ma i problemi sono i seguenti:
1.
Mi servirebbe qualcosa di pratico per amministrare la 2000 in
questione (2000 server) da remoto, considerato il fatto che gli
aggiornamenti preferisco farli tramite windowsupdate.
2.
Terminal Services a sicurezza come sta messo?
Io non mi fido granche', ci sono altri tool con grado di sicurezza
paragonabile a ssh?
3.
I clienti dovrebbero poter definire account ftp per i fatti loro da
pannello di controllo (quale non so), e' possibile fare una cosa del
genere con windows 2000? 
So di essere in parte OT, ma mi serve piu' informazione sulla
sicurezza che sui software specifici (quelli li posso trovare via
google o simili).
Considerate che l'amministrazione remota di win2k mi spaventa
parecchio, avere un IIS mi spaventa invece ancora di piu'... :(
Non traumatizzatemi troppo pls... :)
PS:
NON ditemi che Linux e' meglio perche' 1. lo so, 2. i clienti vogliono
una cosa e mi sa che si deve fare
Devo fare piu' che altro una valutazione di rischi, sapere come
configurare in *dettaglio* il firewall (a parte le cose ovvie, cosa
c'e' di non documentato che dovrei tappare?), che firewall software e'
meglio mettere (ce ne sara' anche uno hardware, ma melius abundare
quam deficere), eventuali prezzi (sigh) e che rischi corro a far
aggiungere agli utenti account ftp per i propri domini? [come fare al
massimo lo vado a chiedere su ic.os.win.win2000 se vi secca rispondere
qui :P]
PS2:
In caso di follow/up fatelo notare che al momento non sono iscritta di
la'...
-- 
           ~~ ICQ#: 8761263 ~~ 
http://www.delymyth.net/
 ~~
            E-Mail Addy: DElyMyth [at] delymyth [dot] net
           => FREE! Hardware Anti-Virus!!! - /dev/brain <=
Chi lavora avvelena anche te, digli di smettere - DElyMyth@work

 google o simili).
Ho un server W2K amministrato da 1 anno da remoto con tutti i servizi
in ascolto.
Per ora non ho avuto problemi di sorta, passando da attacchi normali,
portscan, code red e compagnia bella.
@Salut
--
---------------------------------------------------
Claudio Bacchi - mailto:
c.ba...@qss.it
Queen Software & Soluzioni
Software House in Internet
Phone: 
+39 0543 722862
 -- Fax: 
+39 0543 798868
http://www.qss.it
 mailto:
in...@qss.it
---------------------------------------------------

 aggiungere agli utenti account ftp per i propri domini?
(brrr:))
Giusto qualche considerazione:
- attraverso l'interfaccia web di amministrazione di IIS o mmc
  puoi amministrare i diversi serizi in remoto. L'interfaccia
  web di amministrazione è disabilitata per default e la cosa non
  mi tranquillizza. Forse esistono anche tool di terze parti.
- è prevista la possibilità di delegare l'amministrazione dei
  vari oggetti di active directory ai singoli amministratori,
  che avranno autorità solo su quanto gli è stato delegato;
- se hai già altri livelli di firewall penso che tu ti possa
  accontentare del packet filter di win2k che è aggratis;
- dovrai farti una full immersion di active directory prima di fare
  qualsiasi altra cosa. E con "qualsiasi cosa" intendo dire anche
  i post su altri ng più specializzati: se sei digiuna di win2k e
  cominci a sentire parlare di foglie e foreste potresti cominciare
  a dubitare della tua sanità mentale :))) Anche LDAP e kerberos
  dovranno diventarti famigliari.
- se avrai moltissimi utenti e oggetti in active directory penso che
  dovresti prendere famigliarità con windows scripting host e gli
  oggetti activex per la manipolazione della directory (da scaricare
  a parte dal sito di MS);
- iscriviti a bugtraq, se non l'hai già fatto;
- prendi famigliarità con technet e msdn: temo che dovranno diventare
  i tuoi migliori amici:))
La maggior parte dei problemi di sicurezza nella gestione di questa roba
nascono da una cattiva configurazione prima che da bachi.
Sul sito microsoft technet c'è molto materiale su tutti questi argomenti.
Fabio
PS: è questo il tuo nuovo lavoro?

portscan, code red e compagnia bella.
portscan mi spaventano poco, code red e simili spero nelle patch
rapide (sigh, non ho alternative) e mi armo di backupponi quotidiani o
quasi...
Mi sapresti anche consigliare un firewall software messo abbastanza
bene?
IP filtering, eccetera... [anche blocking sulle porte, su tipi di
pacchetto eccetera...]


> Un componente server remoto in ssh pare sia solo un sogno, IMHO.
Non ho mai provato su win2k ma non penso che ci siano controindicazioni
a forwardare su tunnel ssh qualsiasi connessione.
In ogni caso ci sono anche altri strumenti per migliorare la sicurezza dei
collegamenti: autenticazione kerberos, ipsec, eventualmente, quest'ultimo,
gestito su una seconda (o terza) interfaccia di rete con asic dedicato
destinata (e solo lei) alle attività amministrative.
Fabio

 VERO?)
Ho gia' risposto a questo...
-- 
Pierluigi De Rosa (
tho...@durin.khazad-dum.net
).
<<      LINUX: the choice of a GNU generation     >>
<<   For my real address... ask the Balrog.       >>
* Sostenete la Lega per la Soppressione dei Troll *

 genere con windows 2000? 
Boh..


PS: è questo il tuo nuovo lavoro?
Una parte...
La 2000 non e' ancora sicura al 100%, pero' e' molto probabile che ci
sara'....



Non sono sicuro di aver capito bene la domanda, pero' provo a
darti una risposta relativamente a questo punto. Io uso un
programma che fa da SSH server (FTP e Telnet) che si chiama
VShell (
http://www.vandyke.com/products/vshell/
). Il programma
ha una licenza di tipo shareware (in prova per 30 giorni).
Spero di esserti stato di aiuto.
Ciao, Davide

 Ok, ho capito, devo usare wsh e activex, li odio pero'...
non è certo una priorità ma è utile
Fabio

Spero di esserti stato di aiuto.
Pochino...
La macchina e' una win2k server che sta a 50km da dove sono io...
Mi secca alquanto andare in server farm per applicare una patchettina
da 20k che manco richiede riavvio (sogno?), e dato che win2k e'
totalmente grafico, non mi serve ftp e telnet, bensi' un remote
desktop..
ovviamente *affidabile*
[e ovviamente sto thread e l'altro me li salvo per bene a casa che ci
sono dei link very very util :)]


non è certo una priorità ma è utile
Ehm...
Un editor di testo?
Dei file .conf tutti nella stessa directory?
Facili da editare e belli commentati?
Chiedo troppo?
[no, non rispondete, spero solo di NON dover mettere su quella
macchina e NON tanto presto]


Uh, perche', microsoft usa ipsec?
In win2k si.
Io pensavo fosse il firewall o qualcosa che c'entrasse qualcosa
pero'... :|


pacchetto eccetera...]
IPTable non va bene?
Ciao
Francesco

pero'... :|
VPN, ma puo essere usato anche per criptare le connessioni lan.
Ciao
Francesco

Ma parli di quell'affare chiamato L2TP?
No parla di quell'affare chiamato IPSEC.
Ciao
Francesco

Proprio IETF IPSEC?
O, ma sei duro, si, proprio IPSEC.
Ciao
Francesco


wrote:

A quanto so io:
Entrambi hanno una loro RFC
L2TP e' un protocollo di tunneling, IpSec no (o mi sono persa qualcosa
o non ricordo bene? Le RFC non le ho lette, ammetto...)


IPTable non va bene?
Se e' quello integrato in 2k mi stava sulle balle (trovo piu'
userfriendly ipchains sotto Linux da console, saro' strana...)
Usavo una volta WinRoute della Tiny (quello che fa anche da proxy,
server dhcp eccetera...), ma se gli sparo sta cifra per il firewall mi
impalano e hanno solo ragione :(


Proprio IETF IPSEC?
Ecco si, quello :)


userfriendly ipchains sotto Linux da console, saro' strana...)
Intendevo quello di linux 2.4 :)
Comunque se ti basta puoi usare il packet filtering compreso in w2k
server.
Lo gestisci dal pannello di controllo del routing.
Puoi crearti regole specificando l'indrizzo di partenza/destinazione,
il protocollo (tcp, udp, tcp stabilito, icmp, altri) e ovviamente le
porte di parterza/arrivo
Ciao
Francesco

quale hardware e' necessario per gestirla)
No, per il momento l'ho usato solo per piccole VPN (4-5 macchine) e
l'harware che avevo era piu' che sufficente per gestirlo.
Ciao
Francesco

di data link layer.
Grazie, mi risparmi il ripassone :)
Pero' qualcosa lo ricordavo (conta che sono cose che ho studiacchiato
6 mesi fa e mai piu' visto...)


 pero'... :|
Beh, c'entra: ti consente di accettare o rigettare connessioni in funzione dei
parametri ip e tcp e delle policy ipsec eventualmente stabilite. Attenzione
che alcune configurazioni possono causare DoS in caso di attacco o
malconfigurazione.
Un packet filtering vero e proprio, ma slegato da ipsec, lo puoi trovare in
"Routing e accesso remoto". Anche qui bisogna interpretare: può essere anche
routing da solo senza accesso remoto o anche solo packet filter.
Fabio

 pacchetto eccetera...]
Mi sa' che ti tocca *smazzarti* il packet filtering che e' presente
sui 3 server W2K.
L'IpTable di Micro$oft non mi pare il massimo


 paragonabile a ssh?
Beh, di sicuro c'e' l'OpenSSH di Cygwin. Ti da' una splendida shell
remota di bash sotto win2k... ;-) 
E poi la puoi usare per criptare una connessione VNC. VNC esiste sia per
Windows che per Linux/Unix come server e client, e poi c'e' anche un
client in java. Quindi non dovresti avere problemi con gli ambienti misti
come il tuo. Da ultimo, considera che ci sono anche i sorgenti, quindi,
alla peggio, se una delle tue piattaforme proprio non e' supportata...
Io mi sono trovato molto bene (anche perche' il client windows non si
deve installare e funziona benissimo da floppy), ma non ho mai usato i
Terminal Services, quindi non posso fare confronti. 
Ti rimando al thread "Protezione SSH con VNC" per altri dettagli.
-- 
Carlo Luciano

rapide (sigh, non ho alternative)
Una si'.
Ho sentito parlare di un progetto che impiega Squid a rovescio, e con
poco sforzo si puo' effettuare un controllo su cosa passa.
Anche un semplice
	if [ ! regexp "[A-Z=a-z_0-9\.&@]" "$QUERY_STRING" ]; then
		echo "Redirect: /nicetry.html"
		exit
	fi
	PATH=` basepath "$FILE"`
	if [ grep "^#OK#$PATH$" $0 >/dev/null ]; then
		(ok)
	else
		echo "Redirect: /fottiti.html"
	fi
	exit
#OK#/images/
#OK#/altro/files/
...
ti puo' difendere abbastanza. Di sicuro contro Nimda e compagnia.
Leonardo
-- 
ftp://warez.slashdot.com:12345
 - Warez for nerds. Stuff that matters.

aggiungere agli utenti account ftp per i propri domini?
qui ti consiglio di farlo tu e farti mandare una sottospecie di
"ordine riassuntivo" dagli utenti della ditta. Visto e considerato che
poi tutto l'ambaradam sarà sotto tua diretta responsabilità ;))
[cut]
[1]  A quanto ne so, ed è la procedura che noi abbiamo dovuto seguire,
te lo lasciano rivendere solo se ti spari min. 3gg di corso e diventi
(pagando) Citrix Solution Partner. Il passo successivo è la
certificazione a Citrix Metaframe Administrator (che tra l'altro è
personale e non legata all'azienda), ma nel nostro caso non è andata
proprio così. Sarà forse merito della dialettica....? ;))))
--
Ciao!
Davide

porte di parterza/arrivo
Quando ci avevo provato sul pro non ci ero riuscita...
Riprovero'...


sono quasi sicuro che lo puoi fare.
CIoe', sarebbe un pannellino dove il cliente mette user e pass, poi
crea un altro acoount ftp per la sua macchina...
E ovviamente i clienti NON devono avere account diretti sulla macchina
(sono paranoica)


Riprovero'...
Sul pro questa funzione non c'e'.
Sul pro puoi solo filtrare determinate porte sulla connessione di
rete.
Ciao
Francesco

(sono paranoica)
appunto... ;-PPPP
--
Ciao!
Davide

Siffredi), oppure non ci sono bug.
Lo usano in tanti, e' uscito un bug ora con relativa patch, non sulla
criptazione ma su pacchetti malformati che possono bloccare il
servizio.
Ciao
Francesco

rete.
Adesso capisco :)
Grazie :)


IIS una cosa del genere non l'ho mai vista...
Ci saranno una 50ina di domini su quella macchina (solo web e ftp)
mica posso dare a tutti i diritti di admin :(
Devono solo poter creare account ftp ognuno per il PROPRIO dominio
(via web ovviamente)
Se po'?
'un se po'?
Chiedo su NG apposito per win2k mi sa...
Ma stasera o domani che oggi esco tra mezz'ora (ULTIMO GIORNO DI
LAVORO!!!) :)))


 LAVORO!!!) :)))
AUGURI!!!!! Non voglio correre troppo, ma mi sa che ti imitero' fra non
molto...
-- 
"Ehi, fratelli. Qui c'e' scritto che c'e' anche il tempo per combattere".
SecurFaq             : 
http://securfaq.usenet.eu.org
Biancorossi Siamo Noi: 
http://www.tifonet.it/free/ancona/

 >(sono paranoica)
Ed allora non usare l'FTP di IIS. Come contropartita perdi tutto quello
che di danno
le ACL sugli oggetti.
Saluti.

 mica posso dare a tutti i diritti di admin :(
Non serve mica.
Saluti.

 Quando ci avevo provato sul pro non ci ero riuscita...
Ci credo, sono due cose diverse.
Routing and remote access server (RRAS) sta solo sul server.
Saluti.

 questo modo puoi firewallare le porte 135-139.
L2TP, PPTP e IPSEC fanno tanto schifo?
Saluti.

L2TP, PPTP e IPSEC fanno tanto schifo?
Il fatto e' che non li ho installati, mentre per SSH mi basta far partire
il diavoletto e impostare compressione massima.
