Newsgroup: it.comp.sicurezza.windows
Titolo: Configurazione ottimale di Jetico

Salve a tutti.
Ho recentemente installato Jetico e lo sto configurando a poco a poco 
(prima non avevo nessun firewall). Ho letto parecchia documentazioneą 
ma nonostante tutto ci sono ancora alcune cose che non mi sono chiare 
come dovrebbero, per cui espongo qua i miei dubbi:
- Dopo averlo installato ho avuto la richiesta da parte di svchost di 
collegarsi tramite porta 53 ad un dato indirizzo IP. Ho cercato ed ho 
trovato che quella porta serve per il dns, cosě l'ho aperta. Perň per 
scrupolo ho anche controllato l'IP, ed ho scoperto che non appartiene 
a Telecom (mi collego tramite Alice). Si tratta di un IP spagnolo:
 
http://www.dnsstuff.com/tools/ipall.ch?domain=83.37.17.55
 
Successivamente il medesimo ip ha inviato richieste alle porte 1053 e 
1056. Al momento svchost č impostato affinché sulla 53 comunichi solo 
con l'IP 85.37.17.55, č giusto cosě?
- Rimanendo ad svchost, a mio modesto avviso l'elemento piů ostico di 
tutti da configurare, ho creato una tabella apposita per gestirlo piů 
facilmente, la quale contiene, oltre alle due regole succitate per il 
dns (*send datagrams* e *receive datagrams*), una regola per bloccare 
le porte 135:139, ed una per il multicast (blocco della 1900 per l'IP 
239.255.255.250). Al momento mi appaiono dei popup da indirizzi nella 
rete 221.203.145.* per ricevere datagrammi sulle porte 1030, 1032. Si 
tratta di IP cinesi per cui suppongo di poter rigettare tutto quanto, 
giusto? Rischio qualcosa se blocco tutto il traffico di svchost oltre 
a quello permesso sopra? O, visto che si tratta di un processo che ha 
a che fare con mezzo sistema operativo, meglio bloccare i datagrammi, 
o quel range di IP, e lasciare il resto su *ask*?
[Addendum, casomai fosse necessario: utilizzo WinXP]
- Ieri Jetico mi ha segnalato che Pimmy, mailreader che uso come mail 
checker, ha cercato di inviare datagrammi al server dns tramite porta 
53; perché questo, non dovrebbe essere svchost a farlo?
- Ho bloccato helpctr.exe e HelpSvc.exe, ed accettato per accedere al 
network wmiprvse.exe, logonui.exe, wdfmgr.exe, cmd.exe e netstat.exe. 
Ho cercato in rete ma non ho trovato alcuna risposta risolutiva: sono 
impostazioni corrette per questi processi/programmi di windows oppure 
mi conviene cambiare qualcosa?
- Nella configurazione del programma, nella *Trusted Zone*, c'č anche 
l'IP 
87.6.204.250/32
, appartenente a Telecom. Credevo fosse il mio IP 
e venisse inserito di nuovo ad ogni connessione, ma al momento non lo 
č, cosě rimango perplesso: perché č presente quell'IP? 
Ultima domanda: sto ancora configurando il sistema per i programmi di 
p2p e instant messaging, piů che altro rifacendomi a impostazioni giŕ 
fatte e considerate affidabili, ma per Emule ho dovuto aggiungere una 
regola mia. Nella originale si ha:
* Access to network
* Outbound connection (TCP/IP, porte 1024:65535)
* Send datagrams (TCP/IP, porte 1024:65535)
* Inbound connection (TCP/IP, porta 4665)
* Receive datagrams (TCP/IP, porta 4672)
Le porte locali sono ovviamente quelle scelte in Emule. Se utilizzo i 
parametri di cui sopra perň vengo bombardato da richieste di *receive 
datagrams* su porte locali 0 e 2652 (e soltanto su queste, credo). Ho 
risolto inserendo un'altra regola per accettare i datagrammi da tutti  
gli host, anche se posso affinarla limitandomi a quelle sole porte (o 
inserendo gli IP di tutti i server, suppongo, ma il lavoro diventa un 
po' troppo lungo cosě). Sto sbagliando qualcosa?
Ho finito. Sono stato parecchio prolisso e me ne scuso, spero solo di 
non aver fatto addormentare nessuno. Jetico č un buon prodotto ma per 
niubbi come me richiede parecchio lavoro :-)
Grazie in anticipo.
__
ą In particolare il thread su wilderssecurity:
 
http://www.wilderssecurity.com/showthread.php?t=121009
-- 
Ciao, Massimo | Jabber: 
pet...@jabber.linux.it
http://www.stambugia.com/blog/
 | ICQ: 57669970
«Ma poi, č proprio obbligatorio essere qualcuno?»

Ciao, anche io sto usando Jetico, il 2. E' dura configurarlo senza
sapere cosa come e dove. Non è che puoi postare da qualche parte la
tua configurazione con le tue regole oppure mandarmele via email
(Google ce l'ha).
Grazie.
P.S. Per defaul io blocco ogni connessione inbound verso svchost e
verso System, tranne quelle per i dns.

 (Google ce l'ha).
Posso metterle sul mio sito, ma funzionano anche se sono state create 
con la versione 1.x?
Tra l'altro, le ho costruite tutte partendo da qua:
http://www.hwupgrade.it/forum/showthread.php?t=1056724
http://www.wilderssecurity.com/showthread.php?s=5ee007af61545d68662103
6fc77c55b4&t=121009
(
http://snipurl.com/wsjetico
)
-- 
Ciao, Massimo | Jabber: 
pet...@jabber.linux.it
http://www.stambugia.com/blog/
 | ICQ: 57669970
«Ma poi, è proprio obbligatorio essere qualcuno?»