🚀 go-pugleaf

Użytkownik " ---!daNuta!---" <danuta@konto.pl> napisał w wiadomości
news:48247775.73185601@news.nuta.org...
[...]
> Nie dalej jak 3 tygodnie temu. Wpadam do zielonego qmpla na pivo
[...]
> FW. Niestety okazuje się być to niemożliwe. Mniej więcej po minucie
> internetowej aktywności włazi pierwszy robal. Pomijając już fakt iż chce
> zamknąć system po 60 s (to akurat jest pryszcz) przytyka całkowicie
> łącze, skutecznie uniemożliwiając zassanie czegokolwiek. Usuwam ręcznie
> robala już w off-line, restart i kolejna próba. W międzyczsie staram się
> poprawić/powycinać co zbędne na TCP. Było tych prób jeszcze 3 i w każdym
> przypadku nie minęły 2 minuty od połączenia Neo aby coś nie chciało się
> wpakować.
> Reasumując, ZU jeśli nie ma od ręki zainstalowanych patchy albo jakiegoś
> supportu i dodatkowego oprogramowania na CD może śmiało zpamonieć o
> Internecie oraz o uaktualnieniu i połataniu swojego OS'a przez łącza
> _bezpośrednie_ w stylu Neo czy Net24.

No nie zgodzę się z Tobą, bo jest na to prosty
i skuteczny sposób - filtry IPSEC, które są bardzo
niedocenianym elementem systemów Windows 200x/XP.

Z moich doświadczeń wynika, że jest to całkiem sensowny
firewall systemowy, zapewniający poziom bezpieczeństwa
w zupełności wystarczający dla większości stacji roboczych
i niektórych serwerów.
Oczywiście brakuje w nim wielu istotnych funkcji
takich jak chociażby sprawdzanie sum kontrolnych na plikach,
logowanie pakietów, czy monitowanie użytkownika o reakcję
na daną komunikację sieciową). Jednak nie spotkałem
jeszcze w sieci żadnych testów tego typu firewalla
systemowego, może ktoś ma takie linki?
Wiem, że domyślnie nie blokuje on komunikacji TCP 88
(Kerberos), ale jeśli w filtrach zostanie wyłączone
tego typu uwierzytelnianie, to i port zostanie zamknięty.
Dodatkowo, przy odrobinie wysiłku można w rejestrze
zabezpieczyć komunikację typu broadcast/multicast
(opcja NoDefaultExempt). Jest jeszcze sporo innych opcji,
musiałbym rzucić okiem w dokumentację.

W Windows XP oczywiście łatwiej jest włączyć ICF, ale...
W Windows 2000 żadnego ICF nie ma, więc jeszcze przed
podłączeniem do Internetu odpalasz Local Security Policy,
potem reguły IPSEC (ale nie tworzysz szyfrowania IPSEC,
tylko zwykłe filtry typu Permit, Deny). Konfigurujesz
te filtry w taki sposób, aby zabroniona była komunikacja
z zewnątrz, a na zewnątrz wypuszczasz sobie tylko
porty 80 i 443. Polecam z tym poeksperymentować,
a żadne robale nie wejdą do systemu. Tylko Ty sobie
poradzisz z tą konfiguracją bez problemu, a jak to
wytłumaczyć zwykłym userom domowych kompów? Trzeba
by zrobić jakiś opis krok-po-kroku....

-- 
Tomasz Polus