Newsgroup: it.comp.sicurezza.windows
Titolo: Windows 2000 Server operativo... sicurezza???

Salve gente!!
ho da poco lanciato un nuovo server Windows 2000 SP2 + Roolup Package +
hotfix vari di Windows Update.
Ho IE 5.0 SP2 installato, DirectX 8.1 (assolutamente inutili ma ce le ho
messe lo stesso :-)).
il server è connesso con ip praticamente statico via ADSL BBB 128/256
Telecom e al suo IP è associato un host tramite DNS dinamico tipo 
hn.org
 .
Il server non è firewallato
ospita Remotely Anywhere 3.52.271 e offre un server FTP sulla 21, un accesso
SSH per accedere al prompt da remoto, un sito web sulla 80 (in realtà fa un
redirect ad un sito esterno), è un proxy Sock 5 (con username e pwd) e proxy
HTTP sulla 8088.
Dunque:
il sistema non è firewallato e dall'esterno si può accedere al proxy sulla
8088 TCP e navigare esternamente, il proxy però logga ogni accesso :-)
Di porte di sistema ho aperte la 135 RPC e la 139 l'ho chiusa disabilitando
il NETBIOS su tcp ip di ADSL.
Questo server hosta pure degli Windrop BoT per IRCnet su IPv6, qiundi il suo
IP address non è mai esposto.
Che dite, ho bisogno di firewall ? Cioè dal momento che non sono un nodo
esposto e visibile, ho meno probabilità di essere preso di mira giusto?
Avevo firewallato un altro server con Tiny Personal Firewall e il tutto era
ben chiuso, ma in questo server mi scoccia moltissimo anche perchè tale
configurazione del frw è molto laboriosa anche se alla fine da ottimi
risultati. Voi che dite? tengo tutto cosi'?? o firewallo? Notare che se
firewallo devo pure rebootare x peremettere l'installazione dle software
firewall.
Fatemi sapere le vostre opinioni
Ciao!
Il Maggiore
il.ma...@inwind.it

 messe lo stesso :-)).
Ti conviene anche installare IIS Lockdown e chiudere tutto quello che
non ti e' necessario.
Ci lanci anche hfnetchk e vedi che patch ti mancano, dopodiche' ti fai
una bella scansione con il nessus o con il Cerberus Internet Scanner.
Vedi i risultati.
Fatto questo ti conviene cercare security advisory per tutti i prodotti
che sono attualmente installati sulla tua macchina (PC Anywhere etc..)
Una volta patchati anche quelli, allora puoi prendere in considerazione
l'idea di mettere un firewall...ma solo dopo.

 che alla stessa macchina (con lo stesso IP) associ tutti sti servizi...
Perche`? L'avere tanti servizi su una stessa macchina non apre certo
piu` falle nella sicurezza che averli divisi su piu` macchine.
Se il carico non e` eccessivo non c'e` motivo per dividere il lavoro
su 20 server..non ti dico cosa gira su 
serverone.firenze.linux.it
(non e` windows 2000 cmq) perche` altrimenti chiami l'esorcista : )
-- 
Saluti
Leonardo
Per rispondermi in privato: 
leon...@firenze.linux.it

    che si prefigge il nostro amico...sbaglio anche qui?
Assolutamente : )
le adsl (e hdsl) in genere non sono il massimo se devi offrire servizi
in modo permanente.


 5 (con username e pwd) e proxy HTTP sulla 8088.
questi sono i miei servizi.
Remotely anuwhere è una versione di metà 2001, ora c'è la versione 4.10 ma
non posso mettere perchè non ho la licenza x le vresioni successive e mi
trovo benissimo con questa versione.
Cmq apparte il resto non ho servizi a rischio, considerate che questo server
è ad utenza privatissima, cioè non è pubblico o altro, solo alcuni users da
me scelti possono accedervi (legalmente :-P ).
La TCP 135 RPC è aperta e non posso farci niente, per il resto allego lo
scan fatto con nmap:
# nmap (V. 2.54BETA30) scan initiated Tue Mar 26 19:41:33 2002 as:
nmap -sS -O -v -p 1-65535 -oN itopotaS.log 
xxxxxxx.xxxxx.com
Interesting ports on  (xx.xxx.xxx.xxx):
(The 65487 ports scanned but not shown below are in state: closed)
Port       State       Service
21/tcp     open        ftp
22/tcp     open        ssh
25/tcp     open        smtp
80/tcp     open        http
110/tcp    open        pop-3
135/tcp    open        loc-srv
389/tcp    open        ldap
443/tcp    open        https
1002/tcp   open        unknown
1025/tcp   open        listen
1026/tcp   open        nterm
1080/tcp   open        socks
1090/tcp   open        unknown
1720/tcp   open        unknown
2000/tcp   open        callbook
2010/tcp   filtered    search
2011/tcp   filtered    raid-cc
2012/tcp   filtered    ttyinfo
2013/tcp   filtered    raid-am
2014/tcp   filtered    troff
2015/tcp   filtered    cypress
2016/tcp   filtered    bootserver
2017/tcp   filtered    cypress-stat
2018/tcp   filtered    terminaldb
2019/tcp   filtered    whosockami
2020/tcp   filtered    xinupageserver
2021/tcp   filtered    servexec
2022/tcp   filtered    down
2023/tcp   filtered    xinuexpansion3
2024/tcp   filtered    xinuexpansion4
2025/tcp   filtered    ellpack
2026/tcp   filtered    scrabble
2027/tcp   filtered    shadowserver
2028/tcp   filtered    submitserver
2029/tcp   filtered    unknown
2030/tcp   filtered    device2
3005/tcp   open        deslogin
3372/tcp   open        unknown
4000/tcp   open        unknown
4400/tcp   open        unknown
7150/tcp   open        unknown
8088/tcp   open        unknown
30000/tcp  open        unknown
47624/tcp  open        unknown
50086/tcp  open        unknown
50186/tcp  open        unknown
50286/tcp  open        unknown
50386/tcp  open        unknown
Remote OS guesses: Windows Me or Windows 2000 RC1 through final release,
Windows Millenium Edition v4.90.3000
TCP Sequence Prediction: Class=random positive increments
                         Difficulty=22798 (Worthy challenge)
IPID Sequence Generation: Busy server or unknown class
# Nmap run completed at Tue Mar 26 19:50:53 2002 -- 1 IP address (1 host up)
scanned in 560 seconds
ora:
la 25 e la 110 fanno un redirect accedibile dalla lan 192.168.0.xxx che
punta ai mailserver esterni del provider.
la 102x sono aperte perchè aveevo un paio di client IRC attivi
la 50x86 sono le porte degli eggdrop in ascolto
la 8088 è il proxy HTTP
la 1090 è il Proxy x i contenuti Realplayer
la 1080 è il Sock Server 5
la 4400 è la consolle di amministrazione remota del proxy
la 2000 è la consolle di amministrazione remota del pc
la 2010-2030 sono porte mappate ad un pc della LAN (ora filtered perchè il
pc era spento)
ditemi che ne pensate
ciauz

riallego lo scan fatto con nmap
ora il sistema è firewallato in maniera definitiva.
progettando di tenere il server in unattended mode (dal momento che io non
ci sarò x un pezzo) senza ulteriroi modifice alla rule-set del firewall
# nmap (V. 2.54BETA31) scan initiated Thu Mar 28 16:43:39 2002 as:
./nmap -sS -o -v -p 1-65535 -oN itoS-daover.log 
xxxx.com
Interesting ports on (xxxxxxxxx):
(The 65477 ports scanned but not shown below are in state: closed)
Port State Service
21/tcp filtered ftp
22/tcp filtered ssh
25/tcp filtered smtp
53/tcp filtered domain
67/tcp filtered dhcp
68/tcp filtered dhcpclient
110/tcp filtered pop-3
135/tcp filtered loc-srv
137/tcp filtered netbios-ns
138/tcp filtered netbios-dgm
139/tcp filtered netbios-ssn
389/tcp filtered ldap
445/tcp filtered microsoft-ds
500/tcp filtered isakmp
1002/tcp filtered unknown
1025/tcp filtered listen
1028/tcp filtered unknown
1029/tcp filtered unknown
1030/tcp filtered iad1
1080/tcp filtered socks
1090/tcp filtered unknown
1720/tcp filtered unknown
2000/tcp filtered callbook
2010/tcp filtered search
2011/tcp filtered raid-cc
2012/tcp filtered ttyinfo
2013/tcp filtered raid-am
2014/tcp filtered troff
2015/tcp filtered cypress
2016/tcp filtered bootserver
2017/tcp filtered cypress-stat
2018/tcp filtered terminaldb
2019/tcp filtered whosockami
2020/tcp filtered xinupageserver
3001/tcp filtered nessusd
3002/tcp filtered unknown
3003/tcp filtered unknown
3004/tcp filtered unknown
3350/tcp filtered unknown
3372/tcp filtered unknown
3577/tcp filtered unknown
3615/tcp filtered unknown
3990/tcp filtered unknown
4000/tcp filtered unknown
4400/tcp filtered unknown
4416/tcp filtered unknown
8000/tcp filtered unknown
8001/tcp filtered unknown
8088/tcp filtered unknown
9000/tcp filtered unknown
9001/tcp filtered unknown
30000/tcp filtered unknown
44334/tcp filtered unknown
47624/tcp open unknown
50086/tcp open unknown
50186/tcp open unknown
50286/tcp open unknown
50386/tcp open unknown
# Nmap run completed at Thu Mar 28 16:55:04 2002 -- 1 IP address (1 host up)
scanned in 684 seconds
attendo opinioni :-)

 Ah beh allora....