Newsgroup: it.comp.sicurezza.windows
Titolo: FIREWALL SOFTWARE CONSIGLIATO...

Ciao a tutti,
debbo installare per un mio server Windows 2000 ospitato in una FARM
ed accessibile tramite ip pubblico, un firewall software da remoto.
Quale prodotto sicuro e dico sicuro mi consigliate che non mi blocchi
subito le porte dall'estreno all'interno dopo l'installazione e che
quindi non mi faccia cadere subito il servizio?
Grazie

grydan ha scritto:

Gran bella domanda ...:-)
Dunque: prima di tutto, mi par di capire che vorresti installare da 
remoto un firewall software su un web server, chiedendo la massima 
sicurezza.
Inoltre temi attacchi DoS.
Nient'altro? ;-)
Le cose non stanno esattamente insieme: intanto la sicurezza assoluta 
non esiste, e comunque installare un firewall su una macchina pubblica, 
IMHO ha senso solo se a monte c'e' un firewall separato dal resto. Se un 
cracker vuole entrare a tutti i costi, e ci riesce, te lo trovi sulla 
macchina pubblica, e questo e' da evitare. Del resto, se non ci riesce e 
ti lancia un DoS, la macchina va giu' ancora prima di accorgersi di cosa 
sta arrivando. Meglio quindi che ad andare giu' sia un'altra macchina, a 
monte della tua.
La mia proposta e':
- un firewall a monte della tua DMZ (IPCop, tanto per andare sul 
tranquillo); non puoi farlo da remoto, ma chi gestisce l'housing spero 
ce l'abbia ...
- un packet filter su ogni macchina pubblica (lo so che consigliare 
CHX-I da parte mia non e' serio, ma non vedo alternative). CHX-I con 
qualche sforzo puoi installarlo da remoto e successivamente 
amministrarlo a dovere: basta non fare partire il servizio Hook Filter 
all'installazione, e avviare invece quello per il Remote management.
Ciao
Luca
-- 
Luca Sasdelli
Microsoft MVP - Security, Networking, Windows NT/2000/XP
http://mvp.support.microsoft.com
IDRCI Italia - 
http://www.idrci.it
 - 
http://forum.idrci.it
CHX-I, CHX-I NAT Stateful Packet Filter

 all'installazione, e avviare invece quello per il Remote management.
Esatto, a parte gli scrupoli di Luca (che cmq gli fanno onore)
direi che installare CHX packet filter (ed al limite anche il
content filter) sul/sui server ti permetterebbe di garantire alle
macchine il massimo della sicurezza e la massima semplicità
di gestione anche da remoto
Per ulteriori info vedi 
http://forum.idrci.it
Ciao


< intromissione on>
Se posso aggiungere una postilla da bravo novellino che sono:
     - Se puoi smanettaci ben benino con CHX-I, è tanto efficace quanto
pericoloso, ovvero ti tagli fuori senza troppe difficoltà e poi diventa una
bella sfida andare a sbloccare il tutto in loco!
<intromissione off>
Ciao ciao e buon lavoro a tutti

 bella sfida andare a sbloccare il tutto in loco!
Dovresti bloccare volontariamente (e con qualcos'altro) la porta del 
remote mgmt ... mi sembra un po' un harakiri ;-)



Se proprio devi ridere per ciò che sto per dire almeno girati dall'altra
parte:
Non avendo molta dimestichezza con il chx-i, mi è capitato di iniziare da
regole del tipo blocca tutto per poi passare a sbloccare gradualmente ciò
che mi serviva....peccato che l'ho fatto senza arrestare prima il servizio!!
Per fortuna il pc che controllo in remoto è sotto accanto alla mia
postazione!;-P

ObiWan ha scritto:
una curiosita' personale: forse ricorderai che (un bel po' di) tempo fa' 
provai anche io CHX (e mi e' piaciuto molto).
poi tra una storia e l'altra fu preferito dagli altri un fw hardware 
(non ricordo manco quale ma non mi ha mai convinto) e non ho avuto modo 
di approfondire CHX.
ma ricordo che a suo tempo mi chiesi, quando gestivo da remoto un server 
che ora non e' piu' "lontano", se era "meno peggio" lasciare aperta la 
3389 di terminal server o quella del remote management di chx per poi 
"aprire" quella del termserv all'occasione?
ancora sono assillato da sto dubbio :)))))
-- 
sp-
courrier électronique:
[spintop _ chez _ virgilio _ point _ it]

 che mi serviva....peccato che l'ho fatto senza arrestare prima il servizio!!
"Continuiamo cosi' ... facciamoci del male" (cit.)
:-)



Diciamo solo che sei stato clemente con me!!!
Cerco di trovare un'attenuante: "Sbagliando si impara!!", per i novellini
autodidatta come me č la regola d'oro!

 ancora sono assillato da sto dubbio :)))))
Mbhe ... lasciare la 3389 "aperta al mondo" non è
imho il massimo della sicurezza/tranquillità .. detto
questo ... il fatto di aver installato un f/w hardware
NON preclude l'uso di CHX direttamente sulle
macchine windows protette da tale firewall, se
rileggi il primo post di Luca.. l'idea è proprio
quella di usare un f/w tipo (es.) IPCop come
"border firewall" ed un CHX per ciascuna delle
macchine in DMZ questo permette di aumentare
la sicurezza dell'intera "server farm" DMZ dato
che anche se un'attaccante riuscisse a "bucare"
uno dei servers in DMZ, le altre macchine sarebbero
cmq protette dal CHX "locale" limitando così i danni
e rendendo molto più difficile la vita all'attaccante
Ciao

 imho il massimo della sicurezza/tranquillità ..
gia'.
c'e da dire pero' che il Remote Management ha soltanto user e pass e non 
so se vengono passati in chiaro.
mentre con termserv mi pare di ricordare che c'e' un encryption level 
configurabile.
o no?


 autodidatta come me č la regola d'oro!
ti seguo a ruota :)))))


 user e pass e non so se vengono passati in chiaro.
Hem .. quindi secondo te Stef è un cretino :-] ???
Oltretutto... considera che nelle prossime versioni di CHX
verrà implementato completamente (al momento è solo
parziale) un meccanismo di port knocking, a quel punto
non ci sarà nemmeno bisogno di aprire la porta...
Detto questo, la management console può già essere
utilizzata con "portknocking" anche se la config non è
spiegata nel manuale .. ma del resto .. a cosa servirebbe
l'assistenza altrimenti :-)
Ciao

 Hem .. quindi secondo te Stef è un cretino :-] ???
non ho detto questo!
scrivo:
"NON SO se vengono passati in chiaro"
mh? :)


 mh? :)
occhei occhei :-)
Vabbč, poi fammi sapere com'č andata
con il "seppione" (squid) dell'altro thread
:-)

 con il "seppione" (squid) dell'altro thread
e' andata bene :) mi ero dimenticato di dirtelo.
ho invertito squid e privoxy, adesso non sembrano esserci problemi.
dunque ora e':
net -> squid -> privoxy -> browser
mi spiace soltanto non aver capito come mai l'altra sequenza dava problemi
:-/


 :-/
Riposta nell'altro thread e te lo spiego :-)