Newsgroup: it.comp.sicurezza.windows
Titolo: Proteggere Web server

Ciao a tutti.
Avrei la necissità di dare un minimo di protezione ad un web server con NT4
+  IIS 4. Avevo pensato di installare Microsoft Proxy 2.0. Sono indeciso tra
questo ed un personal firewall tipo Zone Alarm. Cosa mi consigliate?

 wrote:
Ti consiglio un bel aggiornamento a IIS 5 (per togliere un po' di
bachi....)
A che ti serve il PROXY SERVER se hai bisogno di un Firewall???
Ti consiglio un Firewall di basso livello (stile Conceal Firewall)
Oppure:
ISA Server


 ha scritto nel messaggio
news:3b67efcb...@News.CIS.DFN.DE...


 Veramente Proxy 2.0 è anche un firewall, o sbaglio...
Non diciamo fesserie. Un firewall che fa packet filtering e' una cosa ben
diversa da un proxy.
-- 
Pierluigi De Rosa (
tho...@durin.khazad-dum.net
).
<<      LINUX: the choice of a GNU generation     >>
<<   For my real address... ask the Balrog.       >>
* Sostenete la Lega per la Soppressione dei Troll *

 ha scritto nel messaggio
news:9k985s$1e2$1...@moria.khazad-dum.net...


 Allora me ne sapresti consigliare uno?
Per Uindous non saprei proprio cosa consigliarti.. sono tutti mezzi
firewall nel senso che proteggono da una parte e creano casini
dall'altro. La cosa migliore che potresti fare, ripeto, e' prendere un
vecchio PC e riciclarlo con un bel GNU Linux e ipchains tanto non
richiede grossissime risorse ma con quello staresti veramente a posto.


 dall'altro.
Questo discorso è interessante...
Mi puoi dire a cosa ti riferisci esattamente?
Qualche link da consigliare?
Grazie.

diversa da un proxy.
Thorin, MS proxy 2 ha _anche_ funzioni di packet filtering.
Che puo' essere sufficente in alcune realta, decisamente meno in
altre.
Ciao
Francesco

 Qualche link da consigliare?
Nessun link, rileggi i vecchi articoli sia di questo gruppo che di
.varie !


 altre.
M$ Proxy puo' anche dire di fare packet filtering cosi' come puo' dire di
essere stato a letto con Cleopatra, di fatto affidargli la sicurezza
della propria rete basandosi su cio' che _lui_ chiama o tenta di
spacciare per packet filtering e' IMHO da suicidi.


 Mi puoi dire a cosa ti riferisci esattamente?
Il problema e' che si tratta di programmi che girano sulla stessa
macchina da proteggere, per cui buttar giu' il programma puo'
significare buttar giu' anche il sistema che si dovrebbe proteggere (e
se pensiamo a quanto le applicazioni windows sono intrecciate fra loro e
con windows stesso... quante volte il messaggio "Questo programma ha
eseguito..." e' il preludio al riavvio del computer?). Trattandosi di
applicazioni di cui non hai il sorgente (poi il discorso gira gira torna
sempre allo stesso punto) non c'e' modo di poter correggere un eventuale
bug o di scaricare la patch che lo corregge, e l'unica cosa da fare e'
aspettare la versione successiva e pregare che nel frattempo nessuno
riesca a exploitarlo.
Lo "scorporo" della funzione di firewall in una macchina dedicata (dalla
minore potenza perche' deve fare solo quello) e' molto meglio sia dal
punto di vista delle risorse impiegate (il firewall non ruba tempo
macchina e memoria a, per esempio, il motore di database o il web
server) che della sicurezza (perche' se te lo buttano giu' al massimo
isolano la tua macchina dalla rete ma non ci entrano, ed entrare nel
firewall non provocherebbe danni perche' non c'e' nient'altro su quella
macchina, che magari non ha neanche l'hard disk). Tu dirai "ma se dal
firewall mi entrano nella rete interna?". Beh, qui entra in gioco la
periferica piu' importante, cioe' il sistemista, che deve tenere
costantemente aggiornato il sistema, tenersi costantemente aggiornato
sui suoi difetti e debolezze per esempio seguendo i siti e le liste
dedicate (*) e configurare il tutto in maniera oculata (Hint: le regole
di default sono un esempio, vanno tagliate su misura per le proprie
necessita', ogni rete e' un caso a se stante) in modo che la rete
interna sia "disaccoppiata" (TM Crononauta) dall'uscita su Internet.
<RANT>
(*) E si', non si puo' amministrare una rete con quattro click. Chi dice
questo o MENTE o NON SA IL SUO MESTIERE. Per fare il sistemista bisogna
studiare, tenersi aggiornati, capire come funzionano gli strumenti che
si usano. Il danno piu' grosso portato da M$ al mondo informatico non
sono i bug o le implementazioni proprietarie degli standard, peccati
commessi un po' da tutte le grandi sw house, ma l'aver diffuso
(purtroppo con successo) il mito che si puo' usare e gestire un computer
senza saperne niente. NON E' VERO. E le continue violazioni di reti
gestite senza criterio lo confermano.
</RANT>
-- 
Abrogato l'art. 21 della Costituzione Italiana:
 
http://punto-informatico.it/petizione.asp
SecurFaq             : 
http://members.nbci.com/gouldukat/
Biancorossi Siamo Noi: 
http://www.tifonet.it/free/ancona/

IMHO la sicurezza di un web server passa per un firewall leggero
...e, volendo, da un Web Accelerator. Con Squid, mi dicono che CodeRed non
arriva neanche ad Apache, ma muore lasciando un
	squid[...]: urlParse: questo_url_fa_onco_ai_bai
in /var/log/messages.
Leonardo
-- 
ftp://warez.slashdot.com:12345
 - Warez for nerds. Stuff that matters.

 correttezza o meno (immagino fortemente di sě...)
Ti riferisci al riassemblaggio dei frammenti?
Si': cio' avviene a monte di ogni ulteriore filtraggio, se 
si utilizza il connection tracking (mi riferisco al kernel 2.4)
e/o il natting.
I pacchetti malformati, troppo corti, vengono scartati a priori.
-- 
Inviato il mar 07 ago 2001 16:40:24 CEST da 212.177.57.193
[212.177.57.193]
http://www.neuromante.net/

 un DoS.
Infatti, tu puoi filtrare le richieste a servizi che NON vuoi offrire,
ma a un web server non puoi filtrargli la 80 8-))))) E infatti come dici
piu' avanti in questi casi l'unica e' tenere costantemente aggiornato il
software con particolare riguardo alle patch di sicurezza, perche'
questi attacchi sono fatti con richieste legittime il cui contenuto e'
pero' farlocco (caratteri url-encoded, dir-traversal and the like...).
