🚀 go-pugleaf

Dnia pięknego 29.03.2010 09:56, hx pisze:
> Witam,
> 
> pracuję w instytucji publicznej, która
> posiada około 20 komputerów.
> Ze względów finansowych nie możemy
> sobie pozwolić na zakup tylu licencji
> na kasperskiego, więc wymyśliłem sobie
> że kupię 10 licencji, a na reszcie
> komputerów zainstaluje jakieś darmowe antywirusy.
> I teraz pytanie - co byście polecili?
> Kiedyś używałem Comodo - ale był bardzo kiepski.
> Są jeszcze AVG i Avast ale one są darmowe
> tylko do użytku domowego.
> Jak to wogóle jest z tymi licencjami na
> np. Avg? Czy jeśli miałbym to w pracy zainstalowane
> to będzie to potraktowane jako zwykły pirat?
> Czy ewentualna kontrola może się o to czepiać?
> 
> Pozdrawiam
> Sławek
> 
Do takich zastosowan to Ci tylko clamwin zostaje.
Jak wczytać się w licencje to nawet Microsoft Security Essenials nie
mozesz zainstalowac komercyjnie ....

Karol

Dnia Mon, 29 Mar 2010 09:56:13 +0200, hx napisał(a):

> Witam,

Witam również,

> pracuję w instytucji publicznej, która
> posiada około 20 komputerów.
> Ze względów finansowych nie możemy
> sobie pozwolić na zakup tylu licencji
> na kasperskiego, więc wymyśliłem sobie
> że kupię 10 licencji, a na reszcie
> komputerów zainstaluje jakieś darmowe antywirusy.
> I teraz pytanie - co byście polecili?
> Kiedyś używałem Comodo - ale był bardzo kiepski.
> Są jeszcze AVG i Avast ale one są darmowe
> tylko do użytku domowego.

Nie znam żadnego rezydentnego softu, który jest darmowy do zastosowań
komercyjnych. Oczywiście jest Clamav for Windows, ale to tylko skaner,
bez ochrony bieżącej.

> Jak to wogóle jest z tymi licencjami na
> np. Avg? Czy jeśli miałbym to w pracy zainstalowane
> to będzie to potraktowane jako zwykły pirat?
> Czy ewentualna kontrola może się o to czepiać?

Tak, kontrola zakwestionuje, ponieważ prawo do użytkowania bezpłatnego
mają tylko osoby fizyczne.

Jeśli to kwestia ceny, to zamiast Kasperskiego proponuję tylko program
antywirusowy np. NOD32, powinno być taniej. Do tego zablokowanie wyjścia
do Internetu, portów USB, stacji dyskietek, etc, dla niektórych
komputerów, dzięki czemu liczba koniecznych licencji może się nieco
zmniejszyć.

-- 
pozdrawiam
Sylwester Zarębski

Aby wysłać email zmień zbieracz w adresie na sylwek

W dniu 2010-03-29 16:44, olszak pisze:

> Do takich zastosowan to Ci tylko clamwin zostaje.
> Jak wczytać się w licencje to nawet Microsoft Security Essenials nie
> mozesz zainstalowac komercyjnie ....
>
Testowałem kiedyś clamwin. W tym wypadku raczej by się
nie sprawdził.

Pozdrawiam
/Sławek

1. zrob zestawienie:
a) ktore komputery Naprawde sa zagrozone (uzytkownicy Musza miec internet - 
np. do Platnika, poczty email jednostki, stron www)
b) ktore komputery maja krytyczne aplikacje/bazy
c) ktore komputery nie musza miec internetu

I teraz tak: dla punktow a i b kup Nod32 antyvirus (plecam licencje na 5 
stanowisk, wychodzi nieco taniej) i zainstaluj Spybot S&Destroy - darmowy 
(nie tylko dla domu) odsmiecacz.
Firewalla na komputerach mozesz sobie darowac - sprawdz czy twoj router 
laczacy z Internetem ma wykorzystane wszystkie mozliwe opcje 
blokujace/filtrujace - od tego w koncu jest.

Na komputerach z punktu c) zainstaluj Spybot S&Destroy.
Z lista komputerow z punktu c) idz do szefa i wytlumacz, ze te komputery nie 
sa chronione, bo skupiles sie na kluczowych stacjach. Jesli chca miec 
bezpieczenstwo to wymaga kosztow.
Jako argument podaj, ze kupujac "dzisiaj" pelne wersje za rok placisz 
mniej - za aktualizacje.

Pozostaje takze rozwiazanie inne - na komputerach z punktu c) instaluj co 
miesiac TRIAL-e roznych producentow az sie skonczy rok i wtedy dokup 
licencje na brakujace komputery. Pamietaj, ze po okresie trial-owym 
powinienes usunac program, ktory nie spelnil twoich oczekiwan.

Pozdrawiam
F. 

W dniu 2010-03-29 17:29, Sylwester Zarębski pisze:
> Do tego zablokowanie wyjścia
> do Internetu, portów USB, stacji dyskietek, etc, dla niektórych
> komputerów

Raczej nie da rady. Ale w sumie najwięcej problemów
sprawiają wirusy przenoszone na pendrive-ach i rozprzestrzeniające
się za pomocą pliku autorun.inf. Czy da się jakoś
zablokować uruchamianie pliku z autorun.inf przy otwieraniu katalogu 
głównego napędu?

Pozdrawiam
/Sławek

Dnia Mon, 29 Mar 2010 09:56:13 +0200, hx napisał(a):

> Witam,
> 
> pracuję w instytucji publicznej, która
> posiada około 20 komputerów.
> Ze względów finansowych nie możemy
> sobie pozwolić na zakup tylu licencji
> na kasperskiego, więc wymyśliłem sobie
> że kupię 10 licencji, a na reszcie
> komputerów zainstaluje jakieś darmowe antywirusy.
> I teraz pytanie - co byście polecili?

F-prot sprawował się całkiem nieźle. Za 20 licencji komercyjnych
zapłacisz 360 zł, za 20 licencji non-profit ~280 zł.
-- 
M.   [Windows Desktop Experience MVP]
/odpowiadając na priv zmień px na pl/
https://mvp.support.microsoft.com/profile/Michal.Kawecki

In article <hopmjo$2bg$1@atlantis.news.neostrada.pl>
hx <hx@localhost.pl> wrote:

> zainstaluje jakieś darmowe antywirusy.

Poszukaj licencji FortiClienta. Mają edycję darmową, tylko nie wiem
czy tak jak u większości - free for non-commercial, czy się wyłamali.


-- 
Jacek Politowski

Dnia Mon, 29 Mar 2010 19:00:49 +0200, Slawek napisał(a):

> W dniu 2010-03-29 17:29, Sylwester Zarębski pisze:
>> Do tego zablokowanie wyjścia
>> do Internetu, portów USB, stacji dyskietek, etc, dla niektórych
>> komputerów

> Raczej nie da rady. Ale w sumie najwięcej problemów
> sprawiają wirusy przenoszone na pendrive-ach i rozprzestrzeniające
> się za pomocą pliku autorun.inf. Czy da się jakoś
> zablokować uruchamianie pliku z autorun.inf przy otwieraniu katalogu 
> głównego napędu?

Da się zablokować autorun:
http://autorun.moonvalley.com/enable.htm
http://www.howtogeek.com/howto/windows/disable-autoplay-of-audio-cds-and-usb-drives/

Jeśli masz domenę możesz to zlecić na kontroler domeny.

Co prawda nie przeszkodzi to komuś w uruchomieniu pliku
'nagie_fotki_pameli.exe', ale zawsze coś.

Mocno zalecam wyłączenie portów USB na komputerach bez ochrony.

-- 
pozdrawiam
Sylwester Zarębski

Aby wysłać email zmień zbieracz w adresie na sylwek

Dnia Mon, 29 Mar 2010 20:16:39 +0000 (UTC), Jacek Politowski napisał(a):

> In article <hopmjo$2bg$1@atlantis.news.neostrada.pl>
> hx <hx@localhost.pl> wrote:
>> zainstaluje jakieś darmowe antywirusy.
> Poszukaj licencji FortiClienta. Mają edycję darmową, tylko nie wiem
> czy tak jak u większości - free for non-commercial, czy się wyłamali.

FortiClient nie jest darmowy nawet do domowego użytku. Darmowe są
jedynie moduły VPN i firewall (chociaż co do tego drugiego nie jestem
pewien, czy nie będzie krzyczeć po jakimś czasie) - kiedyś to się
nazywało FortiClient Lite. Na miesiąc można zainstalować, ale tak to
chyba każdy AV działa (demo).

-- 
pozdrawiam
Sylwester Zarębski

Aby wysłać email zmień zbieracz w adresie na sylwek

In article <1a63h0eyo35oy$.ql52ttfiwgyh.dlg@40tude.net>
Sylwester Zarębski <zbieracz@isp.net.pl> wrote:

> FortiClient nie jest darmowy nawet do domowego użytku.

http://www.forticlient.com/standard.html

Licencji nie widzę na pierwszy rzut oka, dlatego sugeruję jej
poszukać. Nie wygląda jednak, abyś miał rację.


-- 
Jacek Politowski

Jacek Politowski <sorry@nie.istnieje> wrote:
> In article <1a63h0eyo35oy$.ql52ttfiwgyh.dlg@40tude.net>
> Sylwester Zarębski <zbieracz@isp.net.pl> wrote:
> 
>> FortiClient nie jest darmowy nawet do domowego użytku.
> 
> http://www.forticlient.com/standard.html
> 
> Licencji nie widzę na pierwszy rzut oka, dlatego sugeruję jej
> poszukać. Nie wygląda jednak, abyś miał rację.
	... glupie pytanie, a co dziala na tych komputerach? Jakies
specjalne aplikacje? Z powazaniem
								Adam Przybyla

After serious thinking Sylwester Zarębski wrote :
> Co prawda nie przeszkodzi to komuś w uruchomieniu pliku
> 'nagie_fotki_pameli.exe', ale zawsze coś.

Zablokuj możliwość uruchomienia dla określonej ścieżki w "Software 
Restriction Policies".

pozdrawiam,
Jakub

In article <houn6b$qsc$2@polsl.pl>
Adam Przybyla <adam@rybnik.pl> wrote:
> Jacek Politowski <sorry@nie.istnieje> wrote:
>> In article <1a63h0eyo35oy$.ql52ttfiwgyh.dlg@40tude.net>
>> Sylwester Zarębski <zbieracz@isp.net.pl> wrote:

>>> FortiClient nie jest darmowy nawet do domowego użytku.

>> http://www.forticlient.com/standard.html

>> Licencji nie widzę na pierwszy rzut oka, dlatego sugeruję jej
>> poszukać. Nie wygląda jednak, abyś miał rację.

> 	... glupie pytanie, a co dziala na tych komputerach? Jakies
> specjalne aplikacje?

Kogo i o co pytasz?


-- 
Jacek Politowski

Jacek Politowski <sorry@nie.istnieje> wrote:
> In article <houn6b$qsc$2@polsl.pl>
> Adam Przybyla <adam@rybnik.pl> wrote:
>> Jacek Politowski <sorry@nie.istnieje> wrote:
>>> In article <1a63h0eyo35oy$.ql52ttfiwgyh.dlg@40tude.net>
>>> Sylwester Zarębski <zbieracz@isp.net.pl> wrote:
> 
>>>> FortiClient nie jest darmowy nawet do domowego użytku.
> 
>>> http://www.forticlient.com/standard.html
> 
>>> Licencji nie widzę na pierwszy rzut oka, dlatego sugeruję jej
>>> poszukać. Nie wygląda jednak, abyś miał rację.
> 
>>       ... glupie pytanie, a co dziala na tych komputerach? Jakies
>> specjalne aplikacje?
> 
> Kogo i o co pytasz?
	... autora watku, moze powinien zastanowic sie nad sensownoscia
stawiania tam systemow podatnych na zawirusowanie. Z powazaniem
								Adam Przybyla

W dniu 2010-03-30 18:38, Sylwester Zarębski pisze:

>
> Co prawda nie przeszkodzi to komuś w uruchomieniu pliku
> 'nagie_fotki_pameli.exe', ale zawsze coś.
>
> Mocno zalecam wyłączenie portów USB na komputerach bez ochrony.
>

To by było dobre rozwiązanie. Niestety raczej nierealne,
bo od czasu do czasu pojawia się konieczność przenoszenia
danych między stanowiskami.

Pozdrawiam
/Sławek

W dniu 2010-04-01 09:57, Adam Przybyla pisze:
> Jacek Politowski<sorry@nie.istnieje>  wrote:
>> In article<houn6b$qsc$2@polsl.pl>
>> Adam Przybyla<adam@rybnik.pl>  wrote:
>>> Jacek Politowski<sorry@nie.istnieje>  wrote:
>>>> In article<1a63h0eyo35oy$.ql52ttfiwgyh.dlg@40tude.net>
>>>> Sylwester Zarębski<zbieracz@isp.net.pl>  wrote:
>>
>>>>> FortiClient nie jest darmowy nawet do domowego użytku.
>>
>>>> http://www.forticlient.com/standard.html
>>
>>>> Licencji nie widzę na pierwszy rzut oka, dlatego sugeruję jej
>>>> poszukać. Nie wygląda jednak, abyś miał rację.
>>
>>>        ... glupie pytanie, a co dziala na tych komputerach? Jakies
>>> specjalne aplikacje?
>>
>> Kogo i o co pytasz?
> 	... autora watku, moze powinien zastanowic sie nad sensownoscia
> stawiania tam systemow podatnych na zawirusowanie. Z powazaniem
> 					
Zmiana systemów nie wchodzi raczej w grę. Na większości z tych 
komputerów musi działać dosyć specyficzny program, który działa
tylko w systemie windows (a właściwie to dos).
Tam gdzie nie ma tego programu jest np. corel, itp.
Nie wspominając już o przyzwyczajeniach użytkowników :).

Pozdrawiam
/Sławek

On 1 Kwi, 21:12, Slawek <sla...@localhost.local> wrote:
> W dniu 2010-03-30 18:38, Sylwester Zarębski pisze:
> > Mocno zalecam wyłączenie portów USB na komputerach bez ochrony.
>
> To by było dobre rozwiązanie. Niestety raczej nierealne,
> bo od czasu do czasu pojawia się konieczność przenoszenia
> danych między stanowiskami.

w takim razie serwer Linux z samba - mozna kopiowac pliki do/z sieci
urzadzenia usb Linux obsluguje rozsadniej ;)

pozdrawiam,
Kamil Konieczny

Slawek <slawek@localhost.local> wrote:
> W dniu 2010-04-01 09:57, Adam Przybyla pisze:
>> Jacek Politowski<sorry@nie.istnieje>  wrote:
>>> In article<houn6b$qsc$2@polsl.pl>
>>> Adam Przybyla<adam@rybnik.pl>  wrote:
>>>> Jacek Politowski<sorry@nie.istnieje>  wrote:
>>>>> In article<1a63h0eyo35oy$.ql52ttfiwgyh.dlg@40tude.net>
>>>>> Sylwester Zarębski<zbieracz@isp.net.pl>  wrote:
>>>
>>>>>> FortiClient nie jest darmowy nawet do domowego użytku.
>>>
>>>>> http://www.forticlient.com/standard.html
>>>
>>>>> Licencji nie widzę na pierwszy rzut oka, dlatego sugeruję jej
>>>>> poszukać. Nie wygląda jednak, abyś miał rację.
>>>
>>>>        ... glupie pytanie, a co dziala na tych komputerach? Jakies
>>>> specjalne aplikacje?
>>>
>>> Kogo i o co pytasz?
>>       ... autora watku, moze powinien zastanowic sie nad sensownoscia
>> stawiania tam systemow podatnych na zawirusowanie. Z powazaniem
>>                                       
> Zmiana systemów nie wchodzi raczej w grę. Na większości z tych 
> komputerów musi działać dosyć specyficzny program, który działa
> tylko w systemie windows (a właściwie to dos).
> Tam gdzie nie ma tego programu jest np. corel, itp.
> Nie wspominając już o przyzwyczajeniach użytkowników :).
	... to nie widze problemu, zrobic zrzutke wsrod przyzwyczajonych 
uzytkownikow na wlasciwe zabezpieczenie antywirusowe;-) Z powazaniem
								Adam Przybyla

Slawek <slawek@localhost.local> napisał(a):
> W dniu 2010-04-01 09:57, Adam Przybyla pisze:
>> Jacek Politowski<sorry@nie.istnieje>  wrote:
>>> In article<houn6b$qsc$2@polsl.pl>
>>> Adam Przybyla<adam@rybnik.pl>  wrote:
>>>> Jacek Politowski<sorry@nie.istnieje>  wrote:
>>>>> In article<1a63h0eyo35oy$.ql52ttfiwgyh.dlg@40tude.net>
>>>>> Sylwester Zar?bski<zbieracz@isp.net.pl>  wrote:
>>>
>>>>>> FortiClient nie jest darmowy nawet do domowego u?ytku.
>>>
>>>>> http://www.forticlient.com/standard.html
>>>
>>>>> Licencji nie widz? na pierwszy rzut oka, dlatego sugeruj? jej
>>>>> poszuka?. Nie wygl?da jednak, aby? mia? racj?.
>>>
>>>>        ... glupie pytanie, a co dziala na tych komputerach? Jakies
>>>> specjalne aplikacje?
>>>
>>> Kogo i o co pytasz?
>> 	... autora watku, moze powinien zastanowic sie nad sensownoscia
>> stawiania tam systemow podatnych na zawirusowanie. Z powazaniem
>> 					
> Zmiana systemów nie wchodzi raczej w gr?. Na wi?kszo?ci z tych 
> komputerów musi dzia?a? dosy? specyficzny program, który dzia?a
> tylko w systemie windows (a w?a?ciwie to dos).

Ooooo, DOS to świetna sprawa.
Można postawić free-dos-a - kto teraz wirusy pod DOS-a robi.
Można postawić linuxy z dosemu/dosbox-em. Można postawić
linuxa (jednego) z dosemu i terminale.

> Tam gdzie nie ma tego programu jest np. corel, itp.
> Nie wspominaj?c ju? o przyzwyczajeniach u?ytkowników :).

Jak wywalisz windowsy z tych dosowych maszyn, to ci się zwolni
kasa na antywirusa na maszyny gdzie windows musi zostać.

-- 
WARNING: my e-mail is encrypted by ROT13
Xbaenq Fgrcvra <xbaenq@vagreqngn.arg.cy>

W dniu 2010-04-03 01:59, Konrad Stepien pisze:

> Ooooo, DOS to świetna sprawa.
> Można postawić free-dos-a - kto teraz wirusy pod DOS-a robi.
> Można postawić linuxy z dosemu/dosbox-em. Można postawić
> linuxa (jednego) z dosemu i terminale.
>
Też to w grę nie wchodzi, bo poza programem dos-owym
użytkownicy potrzebują też dostępu do internetu,
edytora tekstu, poczty.

Obawiam się że kierownictwo będzie musiało jakoś przeboleć
wydanie pieniędzy na licencje na antyvirusa.
Wymyśliłem sobie, że na większość stanowisk kupię
kaspersky antyvirus. A na te najbardziej wystawione
na zewnątrz (dostęp do nich mają osoby z poza instytucji)
kaspersky internet security.
I tu jeszcze jedno pytanie. Czy z waszego doświadczenia
jest jakaś istotna różnica w funkcjonalności pomiędzy:
Kaspersky AV, a Kaspersky IS, zakładając
że komputery są za NATem i nie ma do nich dostępu z zewnątrz?


Pozdrawiam
/Sławek

W dniu 2010-04-02 11:08, Kamil Konieczny pisze:

> w takim razie serwer Linux z samba - mozna kopiowac pliki do/z sieci
> urzadzenia usb Linux obsluguje rozsadniej ;)
>
Skończyło by się na tym, że dzwoniliby po mnie przy każdym
przerzucanym pliku. :)
Już prędzej można by do tego użyć poczty elektronicznej,
ale musiałbym postawić lokalny serwer poczty, żeby dane
nie wychodziły na zewnątrz.

Pozdrawiam
/Sławek

Dnia Tue, 06 Apr 2010 19:16:41 +0200, Slawek napisał(a):

> W dniu 2010-04-03 01:59, Konrad Stepien pisze:
> 
>> Ooooo, DOS to świetna sprawa.
>> Można postawić free-dos-a - kto teraz wirusy pod DOS-a robi.
>> Można postawić linuxy z dosemu/dosbox-em. Można postawić
>> linuxa (jednego) z dosemu i terminale.
>>
> Też to w grę nie wchodzi, bo poza programem dos-owym
> użytkownicy potrzebują też dostępu do internetu,
> edytora tekstu, poczty.
> 
> Obawiam się że kierownictwo będzie musiało jakoś przeboleć
> wydanie pieniędzy na licencje na antyvirusa.
> Wymyśliłem sobie, że na większość stanowisk kupię
> kaspersky antyvirus. A na te najbardziej wystawione
> na zewnątrz (dostęp do nich mają osoby z poza instytucji)
> kaspersky internet security.
> I tu jeszcze jedno pytanie. Czy z waszego doświadczenia
> jest jakaś istotna różnica w funkcjonalności pomiędzy:
> Kaspersky AV, a Kaspersky IS, zakładając
> że komputery są za NATem i nie ma do nich dostępu z zewnątrz?

Jeżeli są za NAT-em to firewall jest zbędny.
-- 
M.   [Windows Desktop Experience MVP]
/odpowiadając na priv zmień px na pl/
https://mvp.support.microsoft.com/profile/Michal.Kawecki

epsilon$ while read LINE; do echo \>"$LINE"; done < "Michal Kawecki"
>Jeżeli są za NAT-em to firewall jest zbędny.

Bzdura. (np. iptables -A PREROUTING -d x.x.x.x -j DNAT --to y.y.y.y)

-- 
[------------------------] 
[  Kruk@epsilon.eu.org   ] 
[ http://epsilon.eu.org/ ] 
[------------------------] 

Slawek <slawek@localhost.local> wrote:
> W dniu 2010-04-02 11:08, Kamil Konieczny pisze:
> 
>> w takim razie serwer Linux z samba - mozna kopiowac pliki do/z sieci
>> urzadzenia usb Linux obsluguje rozsadniej ;)
>>
> Skończyło by się na tym, że dzwoniliby po mnie przy każdym
> przerzucanym pliku. :)
> Już prędzej można by do tego użyć poczty elektronicznej,
> ale musiałbym postawić lokalny serwer poczty, żeby dane
> nie wychodziły na zewnątrz.
	... spokojnie, uzytkownicy wiele moga, a taki serwer mozna
przeciez wspomoc spokojnie zdalnie. Z powazaniem
								Adam Przybyla

Dnia Wed, 07 Apr 2010 12:33:16 +0200, Mariusz Kruk napisał(a):

> epsilon$ while read LINE; do echo \>"$LINE"; done < "Michal Kawecki"
>>Jeżeli są za NAT-em to firewall jest zbędny.
> 
> Bzdura. 

Nie wyrywaj zdań z kontekstu. Router, na którym - jak można się domyślać
z wypowiedzi autora wątku - został NAT zrealizowany, ma swój firewall i
to wraz z NAT-em w zupełności wystarczy do ochrony sieci z zewnątrz.

> (np. iptables -A PREROUTING -d x.x.x.x -j DNAT --to y.y.y.y)

No dobrze, przekierujesz sobie jakiś port na routerze na lokalny adres.
I co dalej? Jaki ma to związek z firewallem na stacji roboczej? 
-- 
M.   [Windows Desktop Experience MVP]
/odpowiadając na priv zmień px na pl/
https://mvp.support.microsoft.com/profile/Michal.Kawecki

epsilon$ while read LINE; do echo \>"$LINE"; done < "Michal Kawecki"
>>>Jeżeli są za NAT-em to firewall jest zbędny.
>> Bzdura. 
>Nie wyrywaj zdań z kontekstu. Router, na którym - jak można się domyślać
>z wypowiedzi autora wątku - został NAT zrealizowany, ma swój firewall i
>to wraz z NAT-em w zupełności wystarczy do ochrony sieci z zewnątrz.

Nie. Mówisz o pewnym bardzo szczególnym przypadku dynamicznego
maskowania sieci wewnętrznej. Firewall może być przydatny choćby do
filtrowania połączeń wychodzących.

>> (np. iptables -A PREROUTING -d x.x.x.x -j DNAT --to y.y.y.y)
>No dobrze, przekierujesz sobie jakiś port na routerze na lokalny adres.
>I co dalej? Jaki ma to związek z firewallem na stacji roboczej? 

OK. Widzę, że jesteś bardzo przywiązany do domowych routerków.
Powyższe wywołanie to przekierowanie _wszystkiego_ nadchodzącego na IP
x.x.x.x na IP y.y.y.y. Zgadnij jak w tym momencie wygląda z zewnątrz
host y.y.y.y i czy "potrzebny mu firewall" (pomijając już nawet kalekość
windows, z której wynika wymóg firewalla).

-- 
\.\.\.\.\.\.\.\.\.\.\.\.\.\ 
.\.Kruk@epsilon.eu.org.\.\. 
\.http://epsilon.eu.org/\.\ 
.\.\.\.\.\.\.\.\.\.\.\.\.\. 

Dnia Thu, 08 Apr 2010 11:01:52 +0200, Mariusz Kruk napisał(a):
> epsilon$ while read LINE; do echo \>"$LINE"; done < "Michal Kawecki"
>>> (np. iptables -A PREROUTING -d x.x.x.x -j DNAT --to y.y.y.y)
>>No dobrze, przekierujesz sobie jakiś port na routerze na lokalny adres.
>>I co dalej? Jaki ma to związek z firewallem na stacji roboczej? 
> OK. Widzę, że jesteś bardzo przywiązany do domowych routerków.
> Powyższe wywołanie to przekierowanie _wszystkiego_ nadchodzącego na IP
> x.x.x.x na IP y.y.y.y. Zgadnij jak w tym momencie wygląda z zewnątrz
> host y.y.y.y i czy "potrzebny mu firewall" (pomijając już nawet kalekość
> windows, z której wynika wymóg firewalla).

Cóż, jeśli mogę się wtrącić, to sądzę, iż gdyby twórca wątku
administrował routerem opartym o Linuksa, to wiedza przy okazji nabyta
pozwoliła by mu również na postawienie np. squida z amavisem/clamavem.
Nie wykluczam, że takie urządzenie posiada, ale tym bardziej sądzę, że
nie ma utworzonych symetrycznych DNAT do wewnątrz (pomijam, że teraz
znów zakładasz, iż nie ma np. pociętego FORWARDa oraz innych odpowiednio
poustawianych kolejek (mangle anyone?)).
Poza tym wydaje mi się, że dyskusja na temat 'kalekości' (a raczej
'kalectwa') systemu Windows jest całkowicie akademicka.

-- 
pozdrawiam
Sylwester Zarębski

Aby wysłać email zmień zbieracz w adresie na sylwek

Dnia Thu, 08 Apr 2010 11:01:52 +0200, Mariusz Kruk napisał(a):

> epsilon$ while read LINE; do echo \>"$LINE"; done < "Michal Kawecki"
[...] 
>>> (np. iptables -A PREROUTING -d x.x.x.x -j DNAT --to y.y.y.y)
>>No dobrze, przekierujesz sobie jakiś port na routerze na lokalny adres.
>>I co dalej? Jaki ma to związek z firewallem na stacji roboczej? 
> 
> OK. Widzę, że jesteś bardzo przywiązany do domowych routerków.

Nie. To raczej Ty jesteś przywiązany do akademickich dyskusji.

> Powyższe wywołanie to przekierowanie _wszystkiego_ nadchodzącego na IP
> x.x.x.x na IP y.y.y.y. Zgadnij jak w tym momencie wygląda z zewnątrz
> host y.y.y.y i czy "potrzebny mu firewall" (pomijając już nawet kalekość
> windows, z której wynika wymóg firewalla).

W takim razie wyjaśnij mi laikowi, jak się ma takie przekierowanie do
stwierdzenia "komputery są za NATem i nie ma do nich dostępu z
zewnątrz".
-- 
M.   [Windows Desktop Experience MVP]
/odpowiadając na priv zmień px na pl/
https://mvp.support.microsoft.com/profile/Michal.Kawecki

Michal Kawecki <kkwinto@o2.px> wrote:
> Dnia Thu, 08 Apr 2010 11:01:52 +0200, Mariusz Kruk napisał(a):
> 
>> epsilon$ while read LINE; do echo \>"$LINE"; done < "Michal Kawecki"
> [...] 
>>>> (np. iptables -A PREROUTING -d x.x.x.x -j DNAT --to y.y.y.y)
>>>No dobrze, przekierujesz sobie jakiś port na routerze na lokalny adres.
>>>I co dalej? Jaki ma to związek z firewallem na stacji roboczej? 
>> 
>> OK. Widzę, że jesteś bardzo przywiązany do domowych routerków.
> 
> Nie. To raczej Ty jesteś przywiązany do akademickich dyskusji.
> 
>> Powyższe wywołanie to przekierowanie _wszystkiego_ nadchodzącego na IP
>> x.x.x.x na IP y.y.y.y. Zgadnij jak w tym momencie wygląda z zewnątrz
>> host y.y.y.y i czy "potrzebny mu firewall" (pomijając już nawet kalekość
>> windows, z której wynika wymóg firewalla).
> 
> W takim razie wyjaśnij mi laikowi, jak się ma takie przekierowanie do
> stwierdzenia "komputery są za NATem i nie ma do nich dostępu z
> zewnątrz".
	... bo to mozna latwo wlaczyc, dlatego warto miec kilka warstw bezpieczenstwa.
W systemach bezpiecznych poza dobrze ustawionymi uprawnieniami, filtracja 
pakietow dochodzi tez czasami warstwa Mandatory Access Control i nie wyobrazam
sobie aby ktorakolwiek z nich moglbym "wylaczyc";-))) Zrozum, bezpieczny system
to nie jest rozwiazanie, ktore wyciaga sie z pudelka i jednym klikiem
instaluje, wylaczajac losowo wszelkie opcje, ktore nam przeszkadzaja, bo to moglaby 
robic nawet byle sprzataczka;-))) Z powazaniem
								Adam Przybyla

epsilon$ while read LINE; do echo \>"$LINE"; done < "Michal Kawecki"
>> Powyższe wywołanie to przekierowanie _wszystkiego_ nadchodzącego na IP
>> x.x.x.x na IP y.y.y.y. Zgadnij jak w tym momencie wygląda z zewnątrz
>> host y.y.y.y i czy "potrzebny mu firewall" (pomijając już nawet kalekość
>> windows, z której wynika wymóg firewalla).
>W takim razie wyjaśnij mi laikowi, jak się ma takie przekierowanie do
>stwierdzenia "komputery są za NATem i nie ma do nich dostępu z
>zewnątrz".

Nijak. Tyle, że Twoje stwierdzenie "Jeżeli są za NAT-em to firewall jest
zbędny." jest bzdurne. Owszem, jeśli nie ma do nich dostępu z zewnątrz,
firewall jest "mniej potrzebny", aczkolwiek - jak już pisałem - może być
przydatny do filtrowania połączeń wychodzących.

-- 
d'`'`'`'`'`'`'`'`'`'`'`'`'Yb 
`b  Kruk@epsilon.eu.org   d' 
d' http://epsilon.eu.org/ Yb 
`b,-,.,-,.,-,.,-,.,-,.,-,.d' 

Dnia Fri, 9 Apr 2010 05:37:10 +0000 (UTC), Adam Przybyla napisał(a):

> Michal Kawecki <kkwinto@o2.px> wrote:
>> Dnia Thu, 08 Apr 2010 11:01:52 +0200, Mariusz Kruk napisał(a):
>> 
>>> epsilon$ while read LINE; do echo \>"$LINE"; done < "Michal Kawecki"
>> [...] 
>>>>> (np. iptables -A PREROUTING -d x.x.x.x -j DNAT --to y.y.y.y)
>>>>No dobrze, przekierujesz sobie jakiś port na routerze na lokalny adres.
>>>>I co dalej? Jaki ma to związek z firewallem na stacji roboczej? 
>>> 
>>> OK. Widzę, że jesteś bardzo przywiązany do domowych routerków.
>> 
>> Nie. To raczej Ty jesteś przywiązany do akademickich dyskusji.
>> 
>>> Powyższe wywołanie to przekierowanie _wszystkiego_ nadchodzącego na IP
>>> x.x.x.x na IP y.y.y.y. Zgadnij jak w tym momencie wygląda z zewnątrz
>>> host y.y.y.y i czy "potrzebny mu firewall" (pomijając już nawet kalekość
>>> windows, z której wynika wymóg firewalla).
>> 
>> W takim razie wyjaśnij mi laikowi, jak się ma takie przekierowanie do
>> stwierdzenia "komputery są za NATem i nie ma do nich dostępu z
>> zewnątrz".
> 	... bo to mozna latwo wlaczyc, dlatego warto miec kilka warstw bezpieczenstwa.

Jeśli admin nie jest skończonym idiotą to raczej nie widzę takiego
zagrożenia w normalnym routerze. A że w Linuksie można? - hmm nigdy nie
polecałem Linuksa laikom.

> W systemach bezpiecznych poza dobrze ustawionymi uprawnieniami, filtracja 
> pakietow dochodzi tez czasami warstwa Mandatory Access Control i nie wyobrazam
> sobie aby ktorakolwiek z nich moglbym "wylaczyc";-))) Zrozum, bezpieczny system
> to nie jest rozwiazanie, ktore wyciaga sie z pudelka i jednym klikiem
> instaluje, 

Najwyraźniej nie mówimy o tej samej grupie zastosowań. Ja omawiam
przykład normalnej małej firmy, a nie fortecy.

> wylaczajac losowo wszelkie opcje, ktore nam przeszkadzaja, bo to moglaby 
> robic nawet byle sprzataczka;-))) Z powazaniem

Nie znam sprzątaczki, która zna hasła dostępowe do routerów w firmie.
Posuwasz się do absurdów.

P.S. Natomiast znam sprzątaczki, które w prosty sposób poradzą sobie z
systemowym firewallem. Wystarczy że użytkownicy pracują na kontach
administracyjnych. Jakie więc jest to zabezpieczenie? Zerowe.
-- 
M.   [Windows Desktop Experience MVP]
/odpowiadając na priv zmień px na pl/
https://mvp.support.microsoft.com/profile/Michal.Kawecki

Dnia Fri, 09 Apr 2010 09:17:01 +0200, Mariusz Kruk napisał(a):

> epsilon$ while read LINE; do echo \>"$LINE"; done < "Michal Kawecki"
>>> Powyższe wywołanie to przekierowanie _wszystkiego_ nadchodzącego na IP
>>> x.x.x.x na IP y.y.y.y. Zgadnij jak w tym momencie wygląda z zewnątrz
>>> host y.y.y.y i czy "potrzebny mu firewall" (pomijając już nawet kalekość
>>> windows, z której wynika wymóg firewalla).
>>W takim razie wyjaśnij mi laikowi, jak się ma takie przekierowanie do
>>stwierdzenia "komputery są za NATem i nie ma do nich dostępu z
>>zewnątrz".
> 
> Nijak. Tyle, że Twoje stwierdzenie "Jeżeli są za NAT-em to firewall jest
> zbędny." jest bzdurne. Owszem, jeśli nie ma do nich dostępu z zewnątrz,
> firewall jest "mniej potrzebny", aczkolwiek - jak już pisałem - może być
> przydatny do filtrowania połączeń wychodzących.

Fitrowanie połączeń wychodzących można zrealizować na większości
routerów, o ile w ogóle komukolwiek taka fukcjonalność będzie do
czegokolwiek potrzebna. Co innego filtrowanie ruchu sieciowego aplikacji
- ale tu rozwiązaniem powinien być przyzwoity antywirus, a nie firewall.
-- 
M.   [Windows Desktop Experience MVP]
/odpowiadając na priv zmień px na pl/
https://mvp.support.microsoft.com/profile/Michal.Kawecki

epsilon$ while read LINE; do echo \>"$LINE"; done < "Michal Kawecki"
>>>> Powyższe wywołanie to przekierowanie _wszystkiego_ nadchodzącego na IP
>>>> x.x.x.x na IP y.y.y.y. Zgadnij jak w tym momencie wygląda z zewnątrz
>>>> host y.y.y.y i czy "potrzebny mu firewall" (pomijając już nawet kalekość
>>>> windows, z której wynika wymóg firewalla).
>>>W takim razie wyjaśnij mi laikowi, jak się ma takie przekierowanie do
>>>stwierdzenia "komputery są za NATem i nie ma do nich dostępu z
>>>zewnątrz".
>> Nijak. Tyle, że Twoje stwierdzenie "Jeżeli są za NAT-em to firewall jest
>> zbędny." jest bzdurne. Owszem, jeśli nie ma do nich dostępu z zewnątrz,
>> firewall jest "mniej potrzebny", aczkolwiek - jak już pisałem - może być
>> przydatny do filtrowania połączeń wychodzących.
>Fitrowanie połączeń wychodzących można zrealizować na większości
>routerów, o ile w ogóle komukolwiek taka fukcjonalność będzie do
>czegokolwiek potrzebna.

Ehem. Zwłaszcza np. wychodzących z komputera, ale do wewnątrz własnej
sieci.

>Co innego filtrowanie ruchu sieciowego aplikacji
>- ale tu rozwiązaniem powinien być przyzwoity antywirus, a nie firewall.

Łomatko. To już zboczenie windowsowe. Antywirus w ogóle nie powinien być
potrzebny. Użytkownik nie powinien mieć prawa zrobić sobie kuku. (I w
dobrze skonfigurowanym systemie (sensowne policy) nawet w Windows za bardzo
nie ma). A że w warunkach domowych wszyscy lecą na koncie administratora
i dlatego na własną prośbię "potrzebują antywirusa", to inna sprawa.

-- 
\------------------------/ 
|  Kruk@epsilon.eu.org   | 
| http://epsilon.eu.org/ | 
/------------------------\ 

Mariusz Kruk <Mariusz.Kruk@epsilon.eu.org> writes:

>>Co innego filtrowanie ruchu sieciowego aplikacji
>>- ale tu rozwiązaniem powinien być przyzwoity antywirus, a nie firewall.
>
> Łomatko. To już zboczenie windowsowe. Antywirus w ogóle nie powinien być
> potrzebny.

Tak naprawde, w ogole nie powinno byc takiego pojecia jak antywirus.
Trudnosc wlamania (przez osobe znajaca konkretne srodowisko atakowanego)
powinna byc na tyle duza, ze napisanie wirusa, ktory bylby niebezpieczny
dla wszystkich (lub duzej ilosci) instalacji, nie powinno byc
praktycznie mozliwe.
-- 
Krzysztof Halasa

Krzysztof Halasa <khc@pm.waw.pl> wrote:
> Mariusz Kruk <Mariusz.Kruk@epsilon.eu.org> writes:
> 
>>>Co innego filtrowanie ruchu sieciowego aplikacji
>>>- ale tu rozwiązaniem powinien być przyzwoity antywirus, a nie firewall.
>>
>> Łomatko. To już zboczenie windowsowe. Antywirus w ogóle nie powinien być
>> potrzebny.
> 
> Tak naprawde, w ogole nie powinno byc takiego pojecia jak antywirus.
> Trudnosc wlamania (przez osobe znajaca konkretne srodowisko atakowanego)
> powinna byc na tyle duza, ze napisanie wirusa, ktory bylby niebezpieczny
> dla wszystkich (lub duzej ilosci) instalacji, nie powinno byc
> praktycznie mozliwe.
	.. bo to w sumie taka proteza dla niepelnosprawnych, pod wzgledem
bezpieczenstwa, systemow. Z powazaniem
								Adam Przybyla

Dnia Wed, 14 Apr 2010 15:38:42 +0000 (UTC), Adam Przybyla napisał(a):

> Krzysztof Halasa <khc@pm.waw.pl> wrote:
>> Tak naprawde, w ogole nie powinno byc takiego pojecia jak antywirus.
>> Trudnosc wlamania (przez osobe znajaca konkretne srodowisko atakowanego)
>> powinna byc na tyle duza, ze napisanie wirusa, ktory bylby niebezpieczny
>> dla wszystkich (lub duzej ilosci) instalacji, nie powinno byc
>> praktycznie mozliwe.
> 	.. bo to w sumie taka proteza dla niepelnosprawnych, pod wzgledem
> bezpieczenstwa, systemow.

Tylko zapomniałeś dopisać, że to proteza przede wszystkim na użytkownika
i jego działania. To człowiek jest najsłabszym ogniwem w łańcuchu
zabezpieczeń, nie komputer.

-- 
pozdrawiam
Sylwester Zarębski

Aby wysłać email zmień zbieracz w adresie na sylwek

Sylwester Zarębski <zbieracz@isp.net.pl> napisał(a):
> Dnia Wed, 14 Apr 2010 15:38:42 +0000 (UTC), Adam Przybyla napisał(a):
>
>> Krzysztof Halasa <khc@pm.waw.pl> wrote:
>>> Tak naprawde, w ogole nie powinno byc takiego pojecia jak antywirus.
>>> Trudnosc wlamania (przez osobe znajaca konkretne srodowisko atakowanego)
>>> powinna byc na tyle duza, ze napisanie wirusa, ktory bylby niebezpieczny
>>> dla wszystkich (lub duzej ilosci) instalacji, nie powinno byc
>>> praktycznie mozliwe.
>> 	.. bo to w sumie taka proteza dla niepelnosprawnych, pod wzgledem
>> bezpieczenstwa, systemow.
>
> Tylko zapomniałeś dopisać, że to proteza przede wszystkim na użytkownika
> i jego działania. To człowiek jest najsłabszym ogniwem w łańcuchu
> zabezpieczeń, nie komputer.

Tak, to proteza na człowieka-administratora. Bo to admin powinien tak ustawić
system, żeby user nie był w stanie go zepsuć. Ja wiem, że w windowsach to nie
takie proste, dlatego łatwiej jest dać userowi admina i załozyć antywira.
Ja tam nie mam antywira ani na tych (nielicznych) firmowych kompach z
windowsami, ani w domu i jakoś mi się od lat nic nie przyplątało.

-- 
WARNING: my e-mail is encrypted by ROT13
Xbaenq Fgrcvra <xbaenq@vagreqngn.arg.cy>

Dnia Wed, 14 Apr 2010 09:57:03 +0200, Mariusz Kruk napisał(a):

> epsilon$ while read LINE; do echo \>"$LINE"; done < "Michal Kawecki"
>>>>> Powyższe wywołanie to przekierowanie _wszystkiego_ nadchodzącego na IP
>>>>> x.x.x.x na IP y.y.y.y. Zgadnij jak w tym momencie wygląda z zewnątrz
>>>>> host y.y.y.y i czy "potrzebny mu firewall" (pomijając już nawet kalekość
>>>>> windows, z której wynika wymóg firewalla).
>>>>W takim razie wyjaśnij mi laikowi, jak się ma takie przekierowanie do
>>>>stwierdzenia "komputery są za NATem i nie ma do nich dostępu z
>>>>zewnątrz".
>>> Nijak. Tyle, że Twoje stwierdzenie "Jeżeli są za NAT-em to firewall jest
>>> zbędny." jest bzdurne. Owszem, jeśli nie ma do nich dostępu z zewnątrz,
>>> firewall jest "mniej potrzebny", aczkolwiek - jak już pisałem - może być
>>> przydatny do filtrowania połączeń wychodzących.
>>Fitrowanie połączeń wychodzących można zrealizować na większości
>>routerów, o ile w ogóle komukolwiek taka fukcjonalność będzie do
>>czegokolwiek potrzebna.
> 
> Ehem. Zwłaszcza np. wychodzących z komputera, ale do wewnątrz własnej
> sieci.

Znowu wycinasz kontekst wypowiedzi. Przecież to oczywiste, że routerem
filtruje się ruch na styku świat/firma, a nie wewnątrz sieci lokalnej.

A po co w ogóle filtrować ruch we własnej sieci składającej się z paru
komputerków? W małej firmie ograniczenia dostępu do udostępnionych
zasobów rozwiązuje się sensowną polityką uprawnień przypisanych do kont
użytkowników i uprawnień przypisanych do samych zasobów. Pozostaje więc
raptem może parę procent zastosowań, kiedy warto i należy chronić
regułkami firewalla szczególnie wrażliwe maszyny. 
 
>>Co innego filtrowanie ruchu sieciowego aplikacji
>>- ale tu rozwiązaniem powinien być przyzwoity antywirus, a nie firewall.
> 
> Łomatko. To już zboczenie windowsowe. Antywirus w ogóle nie powinien być
> potrzebny. Użytkownik nie powinien mieć prawa zrobić sobie kuku. (I w
> dobrze skonfigurowanym systemie (sensowne policy) nawet w Windows za bardzo
> nie ma). A że w warunkach domowych wszyscy lecą na koncie administratora
> i dlatego na własną prośbię "potrzebują antywirusa", to inna sprawa.

W firmie raczej się "nie leci" na koncie administratora, chyba że admin
dupa. Natomiast to, że w większości firmowych zastosowań podstawą jest
Windows plus jakiś pakiet Office, jest raczej oczywiste. Podobnie jak i
to, że dane użytkowników firmowych wymagają możliwie szczelnej ochrony,
przy której ani koszty, ani widzimisię admina-linuksiarza nie mają
większego znaczenia. Bez antywirusa żadne zaklęcia nie uchronią
użytkownika przed załapaniem infekcji przy otwieraniu np. zarażonego
dokumentu, pliku pdf, albo strony www, ani też nie będzie sobie zdawał z
niej sprawy. Przejrzyj sobie może statystyki umieszczane na
http://secunia.com. Stare dobre czasy, kiedy królowały prymitywne wirusy
włażące przez pocztę i dziury w IE już dawno się skończyły. Dzisiaj
spotyka się znacznie bardziej wyrafinowane szkodniki roznoszące się w
najprzeróżniejszy sposób.

P.S. Oczywiście, wiem. Wystarczy pracować pod Linuksem i wszystkie
nieszczęścia tego świata pójdą w zapomnienie.
-- 
M.   [Windows Desktop Experience MVP]
/odpowiadając na priv zmień px na pl/
https://mvp.support.microsoft.com/profile/Michal.Kawecki

epsilon$ while read LINE; do echo \>"$LINE"; done < "Michal Kawecki"
>>>>>> Powyższe wywołanie to przekierowanie _wszystkiego_ nadchodzącego na IP
>>>>>> x.x.x.x na IP y.y.y.y. Zgadnij jak w tym momencie wygląda z zewnątrz
>>>>>> host y.y.y.y i czy "potrzebny mu firewall" (pomijając już nawet kalekość
>>>>>> windows, z której wynika wymóg firewalla).
>>>>>W takim razie wyjaśnij mi laikowi, jak się ma takie przekierowanie do
>>>>>stwierdzenia "komputery są za NATem i nie ma do nich dostępu z
>>>>>zewnątrz".
>>>> Nijak. Tyle, że Twoje stwierdzenie "Jeżeli są za NAT-em to firewall jest
>>>> zbędny." jest bzdurne. Owszem, jeśli nie ma do nich dostępu z zewnątrz,
>>>> firewall jest "mniej potrzebny", aczkolwiek - jak już pisałem - może być
>>>> przydatny do filtrowania połączeń wychodzących.
>>>Fitrowanie połączeń wychodzących można zrealizować na większości
>>>routerów, o ile w ogóle komukolwiek taka fukcjonalność będzie do
>>>czegokolwiek potrzebna.
>> Ehem. Zwłaszcza np. wychodzących z komputera, ale do wewnątrz własnej
>> sieci.
>Znowu wycinasz kontekst wypowiedzi. Przecież to oczywiste, że routerem
>filtruje się ruch na styku świat/firma, a nie wewnątrz sieci lokalnej.
>
>A po co w ogóle filtrować ruch we własnej sieci składającej się z paru
>komputerków?

Choćby po to, żeby się robactwo nie rozłaziło po firmie.

>W małej firmie ograniczenia dostępu do udostępnionych
>zasobów rozwiązuje się sensowną polityką uprawnień przypisanych do kont
>użytkowników i uprawnień przypisanych do samych zasobów.

"W małej firmie" i "sensowną polityką" rzadko występują razem
w przyrodzie. To tak na marginesie.

>>>Co innego filtrowanie ruchu sieciowego aplikacji
>>>- ale tu rozwiązaniem powinien być przyzwoity antywirus, a nie firewall.
>> Łomatko. To już zboczenie windowsowe. Antywirus w ogóle nie powinien być
>> potrzebny. Użytkownik nie powinien mieć prawa zrobić sobie kuku. (I w
>> dobrze skonfigurowanym systemie (sensowne policy) nawet w Windows za bardzo
>> nie ma). A że w warunkach domowych wszyscy lecą na koncie administratora
>> i dlatego na własną prośbię "potrzebują antywirusa", to inna sprawa.
>W firmie raczej się "nie leci" na koncie administratora, chyba że admin
>dupa.

Chyba, że zdarzają się programy, które inaczej nie chodzą (niestety,
czasami się takie zdarzają). Ale to margines.

>Natomiast to, że w większości firmowych zastosowań podstawą jest
>Windows plus jakiś pakiet Office, jest raczej oczywiste.

To jest raczej "oczywiste". Masz bardzo wąskie postrzeganie firmowych
zastosowań.

>Podobnie jak i
>to, że dane użytkowników firmowych wymagają możliwie szczelnej ochrony,
>przy której ani koszty, ani widzimisię admina-linuksiarza nie mają
>większego znaczenia. Bez antywirusa żadne zaklęcia nie uchronią
>użytkownika przed załapaniem infekcji przy otwieraniu np. zarażonego
>dokumentu, pliku pdf, albo strony www, ani też nie będzie sobie zdawał z
>niej sprawy. Przejrzyj sobie może statystyki umieszczane na
>http://secunia.com. Stare dobre czasy, kiedy królowały prymitywne wirusy
>włażące przez pocztę i dziury w IE już dawno się skończyły. Dzisiaj
>spotyka się znacznie bardziej wyrafinowane szkodniki roznoszące się w
>najprzeróżniejszy sposób.
>
>P.S. Oczywiście, wiem. Wystarczy pracować pod Linuksem i wszystkie
>nieszczęścia tego świata pójdą w zapomnienie.

Ale napisałbyś coś do rzeczy, a nie wszczynał pyskówki?
Akurat tak się składa, że da się zrobić sensowne ograniczenia we Windows
nawet i da się pracować bez antywirusa. Tyle, że jest to nietrywialne
i raczej nieosiągalne dla prostego domowego użytkownika.

-- 
\------------------------/ 
|  Kruk@epsilon.eu.org   | 
| http://epsilon.eu.org/ | 
/------------------------\ 

Dnia Mon, 19 Apr 2010 11:00:40 +0200, Mariusz Kruk napisał(a):

> epsilon$ while read LINE; do echo \>"$LINE"; done < "Michal Kawecki"

[...]
>>A po co w ogóle filtrować ruch we własnej sieci składającej się z paru
>>komputerków?
> 
> Choćby po to, żeby się robactwo nie rozłaziło po firmie.

Zakładając, że robactwo rozłazi się po udostępnionych zasobach, w jaki
sposób firewallem zapobiegniesz jego rozłażeniu pozostawiając userom
dostęp do tych zasobów? Nie da się mieć ciastka i zjeść ciastka.
 
>>W małej firmie ograniczenia dostępu do udostępnionych
>>zasobów rozwiązuje się sensowną polityką uprawnień przypisanych do kont
>>użytkowników i uprawnień przypisanych do samych zasobów.
> 
> "W małej firmie" i "sensowną polityką" rzadko występują razem
> w przyrodzie. To tak na marginesie.

Firewall nie zastąpi sensownej polityki zabezpieczeń. To tak na
marginesie.
 
[...]
>>Natomiast to, że w większości firmowych zastosowań podstawą jest
>>Windows plus jakiś pakiet Office, jest raczej oczywiste.
> 
> To jest raczej "oczywiste". Masz bardzo wąskie postrzeganie firmowych
> zastosowań.

To Twój punkt widzenia, a ja jestem praktykiem a nie teoretykiem.
 
>>Podobnie jak i
>>to, że dane użytkowników firmowych wymagają możliwie szczelnej ochrony,
>>przy której ani koszty, ani widzimisię admina-linuksiarza nie mają
>>większego znaczenia. Bez antywirusa żadne zaklęcia nie uchronią
>>użytkownika przed załapaniem infekcji przy otwieraniu np. zarażonego
>>dokumentu, pliku pdf, albo strony www, ani też nie będzie sobie zdawał z
>>niej sprawy. Przejrzyj sobie może statystyki umieszczane na
>>http://secunia.com. Stare dobre czasy, kiedy królowały prymitywne wirusy
>>włażące przez pocztę i dziury w IE już dawno się skończyły. Dzisiaj
>>spotyka się znacznie bardziej wyrafinowane szkodniki roznoszące się w
>>najprzeróżniejszy sposób.
>>
>>P.S. Oczywiście, wiem. Wystarczy pracować pod Linuksem i wszystkie
>>nieszczęścia tego świata pójdą w zapomnienie.
> 
> Ale napisałbyś coś do rzeczy, a nie wszczynał pyskówki?

Cały czas staram się pisać na temat - w przeciwieństwie do Ciebie.

> Akurat tak się składa, że da się zrobić sensowne ograniczenia we Windows
> nawet

Owszem.

> i da się pracować bez antywirusa. 

Zastępując go firewallem? ;-)

> Tyle, że jest to nietrywialne
> i raczej nieosiągalne dla prostego domowego użytkownika.

A my tu o firmie, nie o domu. Zejdź na temat. Ale skoro już przy
antywirusach jesteśmy, to poproszę o bezantywirusowy sposób
zabezpieczenia się przed exploitami w Adobe Acrobat pod Windows i pod
Linuksem. O, na przykład przed tymi:
http://www.adobe.com/support/security/bulletins/apsb10-08.html
http://www.adobe.com/support/security/bulletins/apsb10-09.html
http://archives.neohapsis.com/archives/fulldisclosure/2010-04/0203.html
-- 
M.   [Windows Desktop Experience MVP]
/odpowiadając na priv zmień px na pl/
https://mvp.support.microsoft.com/profile/Michal.Kawecki

epsilon$ while read LINE; do echo \>"$LINE"; done < "Michal Kawecki"
>>>A po co w ogóle filtrować ruch we własnej sieci składającej się z paru
>>>komputerków?
>> Choćby po to, żeby się robactwo nie rozłaziło po firmie.
>Zakładając, że robactwo rozłazi się po udostępnionych zasobach, w jaki
>sposób firewallem zapobiegniesz jego rozłażeniu pozostawiając userom
>dostęp do tych zasobów? Nie da się mieć ciastka i zjeść ciastka.

1. Błędne założenie. Robactwo może się rozłazić przez różne rzeczy.
2. Nie zawsze trzeba mieć dostęp do zasobów.
3. I inne.

>>>W małej firmie ograniczenia dostępu do udostępnionych
>>>zasobów rozwiązuje się sensowną polityką uprawnień przypisanych do kont
>>>użytkowników i uprawnień przypisanych do samych zasobów.
>> "W małej firmie" i "sensowną polityką" rzadko występują razem
>> w przyrodzie. To tak na marginesie.
>Firewall nie zastąpi sensownej polityki zabezpieczeń. To tak na
>marginesie.

Oczywiście. Podobnie jak pasy bezpieczeństwa nie zastąpią umiejętności
kierowania samochodem.

>[...]
>>>Natomiast to, że w większości firmowych zastosowań podstawą jest
>>>Windows plus jakiś pakiet Office, jest raczej oczywiste.
>> To jest raczej "oczywiste". Masz bardzo wąskie postrzeganie firmowych
>> zastosowań.
>To Twój punkt widzenia, a ja jestem praktykiem a nie teoretykiem.

No popatrz. Ja też. Tak z połowa komputerów u mnie "we firmie" nie ma
żadnego pakietu ofisopodobnego. Praktyku.
 
>>>Podobnie jak i
>>>to, że dane użytkowników firmowych wymagają możliwie szczelnej ochrony,
>>>przy której ani koszty, ani widzimisię admina-linuksiarza nie mają
>>>większego znaczenia. Bez antywirusa żadne zaklęcia nie uchronią
>>>użytkownika przed załapaniem infekcji przy otwieraniu np. zarażonego
>>>dokumentu, pliku pdf, albo strony www, ani też nie będzie sobie zdawał z
>>>niej sprawy. Przejrzyj sobie może statystyki umieszczane na
>>>http://secunia.com. Stare dobre czasy, kiedy królowały prymitywne wirusy
>>>włażące przez pocztę i dziury w IE już dawno się skończyły. Dzisiaj
>>>spotyka się znacznie bardziej wyrafinowane szkodniki roznoszące się w
>>>najprzeróżniejszy sposób.
>>>
>>>P.S. Oczywiście, wiem. Wystarczy pracować pod Linuksem i wszystkie
>>>nieszczęścia tego świata pójdą w zapomnienie.
>> Ale napisałbyś coś do rzeczy, a nie wszczynał pyskówki?
>Cały czas staram się pisać na temat - w przeciwieństwie do Ciebie.

Ehem. Zwłaszcza te niesłychanie rzeczowe uwagi o widzimisiach i próby
sprowadzenia dyskusji na pyskówkę o Linuksie.

>> Akurat tak się składa, że da się zrobić sensowne ograniczenia we Windows
>> nawet
>Owszem.
>
>> i da się pracować bez antywirusa. 
>Zastępując go firewallem? ;-)

Nie.

>> Tyle, że jest to nietrywialne
>> i raczej nieosiągalne dla prostego domowego użytkownika.
>A my tu o firmie, nie o domu.

Nie. Ty ciągle sprowadzasz dyskusję na "małą firmę", a potem zakładasz,
że w tej "małej firmie" są standardy jak w zamordystycznej korporacji.
A tak zwykle jednak nie jest.

>Zejdź na temat.

IVVP

>Ale skoro już przy
>antywirusach jesteśmy, to poproszę o bezantywirusowy sposób
>zabezpieczenia się przed exploitami w Adobe Acrobat pod Windows i pod
>Linuksem. O, na przykład przed tymi:
>http://www.adobe.com/support/security/bulletins/apsb10-08.html
>http://www.adobe.com/support/security/bulletins/apsb10-09.html
>http://archives.neohapsis.com/archives/fulldisclosure/2010-04/0203.html

[...]
 Workaround

Avoid opening untrusted PDF files, or use an alternative application
to process PDF files. 
[...]
Jakby wszyscy musieli używać tej kobyły...

-- 
/\-\/\-\/\-\/\-\/\-\/\-\/\ 
\  Kruk@epsilon.eu.org   / 
/ http://epsilon.eu.org/ \ 
\/-/\/-/\/-/\/-/\/-/\/-/\/ 

Dnia Sun, 25 Apr 2010 17:05:19 +0200, Mariusz Kruk napisał(a):

> epsilon$ while read LINE; do echo \>"$LINE"; done < "Michal Kawecki"
[...] 
>>Ale skoro już przy
>>antywirusach jesteśmy, to poproszę o bezantywirusowy sposób
>>zabezpieczenia się przed exploitami w Adobe Acrobat pod Windows i pod
>>Linuksem. O, na przykład przed tymi:
>>http://www.adobe.com/support/security/bulletins/apsb10-08.html
>>http://www.adobe.com/support/security/bulletins/apsb10-09.html
>>http://archives.neohapsis.com/archives/fulldisclosure/2010-04/0203.html
> 
> [...]
>  Workaround
> 
> Avoid opening untrusted PDF files, or use an alternative application
> to process PDF files. 
> [...]
> Jakby wszyscy musieli używać tej kobyły...

Zaiste. Można zrezygnować z wielu aplikacji. Tylko skąd będziesz
wiedział, że akurat te programy, które pozostawiłeś, których
potrzebujesz i których używasz, mają tak poważne luki i że pozornie
niewinne dokumenty, które przy ich pomocy otwierasz, teraz stanowią dla
Ciebie zagrożenie...? 

Oczywiście antywirus też nie rozwiąże w pełni tego problemu. Ale jest
narzędziem, które umiejętnie użyte pozwoli w takich skrajnych sytuacjach
w istotny sposób podnieść poziom bezpieczeństwa systemu. Poza tym jego
stały nadzór nad treścią otwieranych plików i ich poczynaniami w
systemie bardzo skraca odcinek czasu między pojawieniem się zagrożenia a
jego identyfikacją przez użytkownika. I dlatego uważam go za absolutnie
niezbędny element skutecznej polityki bezpieczeństwa.
-- 
M.   [Windows Desktop Experience MVP]
/odpowiadając na priv zmień px na pl/
https://mvp.support.microsoft.com/profile/Michal.Kawecki

epsilon$ while read LINE; do echo \>"$LINE"; done < "Michal Kawecki"
>>>Ale skoro już przy
>>>antywirusach jesteśmy, to poproszę o bezantywirusowy sposób
>>>zabezpieczenia się przed exploitami w Adobe Acrobat pod Windows i pod
>>>Linuksem. O, na przykład przed tymi:
>>>http://www.adobe.com/support/security/bulletins/apsb10-08.html
>>>http://www.adobe.com/support/security/bulletins/apsb10-09.html
>>>http://archives.neohapsis.com/archives/fulldisclosure/2010-04/0203.html
>> [...]
>>  Workaround
>> 
>> Avoid opening untrusted PDF files, or use an alternative application
>> to process PDF files. 
>> [...]
>> Jakby wszyscy musieli używać tej kobyły...
>Zaiste. Można zrezygnować z wielu aplikacji. Tylko skąd będziesz
>wiedział, że akurat te programy, które pozostawiłeś, których
>potrzebujesz i których używasz, mają tak poważne luki i że pozornie
>niewinne dokumenty, które przy ich pomocy otwierasz, teraz stanowią dla
>Ciebie zagrożenie...? 

A skąd będziesz wiedział, że akurat antywirus nie jest podatny na jakiś
atak? A skąd wiesz, że wyłapuje wszystkie możliwe exploity? Tak można
w nieskończoność.

>Oczywiście antywirus też nie rozwiąże w pełni tego problemu. Ale jest
>narzędziem, które umiejętnie użyte pozwoli w takich skrajnych sytuacjach
>w istotny sposób podnieść poziom bezpieczeństwa systemu.

Z praktyki mogę napisać, że większość infekcji, które widziałem nie była
poprzez jakieś exploity w aplikacjach, tylko przez chore mechanizmy
w Windows (autorun anyone?). I to jest główny kanał, który uszczelniają
antywirusy. Innemi słowy - Windows z antywirusami bohatersko stawia
czoła problemom nieznanym w innych systemach.

>Poza tym jego
>stały nadzór nad treścią otwieranych plików i ich poczynaniami w
>systemie bardzo skraca odcinek czasu między pojawieniem się zagrożenia a
>jego identyfikacją przez użytkownika.

Przy czym w bardziej "niestandardowym" setupie generuje tyle
false-positives, że pewne funkcjonalności i tak trzeba wyłączać.
(ZENWorks anyone?)

>I dlatego uważam go za absolutnie
>niezbędny element skutecznej polityki bezpieczeństwa.

Ależ wolno Ci.

-- 
[------------------------] 
[  Kruk@epsilon.eu.org   ] 
[ http://epsilon.eu.org/ ] 
[------------------------] 

Dnia Sun, 25 Apr 2010 17:05:19 +0200, Mariusz Kruk napisał(a):

> epsilon$ while read LINE; do echo \>"$LINE"; done < "Michal Kawecki"
>>>>A po co w ogóle filtrować ruch we własnej sieci składającej się z paru
>>>>komputerków?
>>> Choćby po to, żeby się robactwo nie rozłaziło po firmie.
>>Zakładając, że robactwo rozłazi się po udostępnionych zasobach, w jaki
>>sposób firewallem zapobiegniesz jego rozłażeniu pozostawiając userom
>>dostęp do tych zasobów? Nie da się mieć ciastka i zjeść ciastka.
> 
> 1. Błędne założenie. Robactwo może się rozłazić przez różne rzeczy.

Tak z ciekawości, podaj choć parę przykładów roznoszenia się robactwa
przez "różne rzeczy". Któremu można zapobiec firewallem.

> 2. Nie zawsze trzeba mieć dostęp do zasobów.
> 3. I inne.

Inne też możesz podać.
-- 
M.   [Windows Desktop Experience MVP]
/odpowiadając na priv zmień px na pl/
https://mvp.support.microsoft.com/profile/Michal.Kawecki

Dnia Mon, 26 Apr 2010 08:21:15 +0200, Mariusz Kruk napisał(a):

> epsilon$ while read LINE; do echo \>"$LINE"; done < "Michal Kawecki"
>>> [...]
>>>  Workaround
>>> 
>>> Avoid opening untrusted PDF files, or use an alternative application
>>> to process PDF files. 
>>> [...]
>>> Jakby wszyscy musieli używać tej kobyły...
>>Zaiste. Można zrezygnować z wielu aplikacji. Tylko skąd będziesz
>>wiedział, że akurat te programy, które pozostawiłeś, których
>>potrzebujesz i których używasz, mają tak poważne luki i że pozornie
>>niewinne dokumenty, które przy ich pomocy otwierasz, teraz stanowią dla
>>Ciebie zagrożenie...? 
> 
> A skąd będziesz wiedział, że akurat antywirus nie jest podatny na jakiś
> atak? A skąd wiesz, że wyłapuje wszystkie możliwe exploity? Tak można
> w nieskończoność.

A skąd będziesz wiedział, że Twój firewall nie ma dziur, przez które
przenikną szkodniki? A skąd będziesz wiedział, że nie zostanie on
wyłączony natychmiast po zainfekowaniu komputera? 

Posuwasz się w tej argumentacji do absurdów. Ta dyskusja jest bez sensu.
 
>>Oczywiście antywirus też nie rozwiąże w pełni tego problemu. Ale jest
>>narzędziem, które umiejętnie użyte pozwoli w takich skrajnych sytuacjach
>>w istotny sposób podnieść poziom bezpieczeństwa systemu.
> 
> Z praktyki mogę napisać, że większość infekcji, które widziałem nie była
> poprzez jakieś exploity w aplikacjach, tylko przez chore mechanizmy
> w Windows (autorun anyone?). I to jest główny kanał, który uszczelniają
> antywirusy. Innemi słowy - Windows z antywirusami bohatersko stawia
> czoła problemom nieznanym w innych systemach.

Twierdzisz więc, że te wszystkie dziury wykrywane w aplikacjach to tylko
propaganda, bez przełożenia na rzeczywiste zagrożenia? 
 
>>Poza tym jego
>>stały nadzór nad treścią otwieranych plików i ich poczynaniami w
>>systemie bardzo skraca odcinek czasu między pojawieniem się zagrożenia a
>>jego identyfikacją przez użytkownika.
> 
> Przy czym w bardziej "niestandardowym" setupie generuje tyle
> false-positives, że pewne funkcjonalności i tak trzeba wyłączać.
> (ZENWorks anyone?)

Mam ponad sto maszyn z Kasperski'm, sporo z Microsoft Security
Essentials i NOD32, i nie widuję na nich fałszywych alarmów. Może
zainstaluj sobie wreszcie jakiegoś *porządnego* antywirusa, potestuj go
i dopiero potem się wypowiadaj. Bo teraz zwyczajnie szerzysz urban
legends.
-- 
M.   [Windows Desktop Experience MVP]
/odpowiadając na priv zmień px na pl/
https://mvp.support.microsoft.com/profile/Michal.Kawecki

epsilon$ while read LINE; do echo \>"$LINE"; done < "Michal Kawecki"
>>>>  Workaround
>>>> 
>>>> Avoid opening untrusted PDF files, or use an alternative application
>>>> to process PDF files. 
>>>> [...]
>>>> Jakby wszyscy musieli używać tej kobyły...
>>>Zaiste. Można zrezygnować z wielu aplikacji. Tylko skąd będziesz
>>>wiedział, że akurat te programy, które pozostawiłeś, których
>>>potrzebujesz i których używasz, mają tak poważne luki i że pozornie
>>>niewinne dokumenty, które przy ich pomocy otwierasz, teraz stanowią dla
>>>Ciebie zagrożenie...? 
>> A skąd będziesz wiedział, że akurat antywirus nie jest podatny na jakiś
>> atak? A skąd wiesz, że wyłapuje wszystkie możliwe exploity? Tak można
>> w nieskończoność.
>A skąd będziesz wiedział, że Twój firewall nie ma dziur, przez które
>przenikną szkodniki? A skąd będziesz wiedział, że nie zostanie on
>wyłączony natychmiast po zainfekowaniu komputera? 
>
>Posuwasz się w tej argumentacji do absurdów. Ta dyskusja jest bez sensu.

Brawo. Cieszę się, że sam doszedłeś do tego wniosku.

>>>Oczywiście antywirus też nie rozwiąże w pełni tego problemu. Ale jest
>>>narzędziem, które umiejętnie użyte pozwoli w takich skrajnych sytuacjach
>>>w istotny sposób podnieść poziom bezpieczeństwa systemu.
>> Z praktyki mogę napisać, że większość infekcji, które widziałem nie była
>> poprzez jakieś exploity w aplikacjach, tylko przez chore mechanizmy
>> w Windows (autorun anyone?). I to jest główny kanał, który uszczelniają
>> antywirusy. Innemi słowy - Windows z antywirusami bohatersko stawia
>> czoła problemom nieznanym w innych systemach.
>Twierdzisz więc, że te wszystkie dziury wykrywane w aplikacjach to tylko
>propaganda, bez przełożenia na rzeczywiste zagrożenia? 

Uważaj na nisko przelatujące kwantyfikatory.
Owszem, prawdopodobnie, jeśli windows nie miałby tak rozkosznie
atakowalnych mechanizmów, wtedy popularniejszym wektorem ataku byłyby
dziury w aplikacjach. Ale na razie, po co się trudzić?

>>>Poza tym jego
>>>stały nadzór nad treścią otwieranych plików i ich poczynaniami w
>>>systemie bardzo skraca odcinek czasu między pojawieniem się zagrożenia a
>>>jego identyfikacją przez użytkownika.
>> Przy czym w bardziej "niestandardowym" setupie generuje tyle
>> false-positives, że pewne funkcjonalności i tak trzeba wyłączać.
>> (ZENWorks anyone?)
>Mam ponad sto maszyn z Kasperski'm,

Odłóż ten apostrof, bo sobie krzywdę zrobisz.

>sporo z Microsoft Security
>Essentials i NOD32, i nie widuję na nich fałszywych alarmów.

Widziałeś kiedyś na oczy ZENWorks? Wiesz jak działa Application
Explorer?


-- 
\.\.\.\.\.\.\.\.\.\.\.\.\.\ 
.\.Kruk@epsilon.eu.org.\.\. 
\.http://epsilon.eu.org/\.\ 
.\.\.\.\.\.\.\.\.\.\.\.\.\. 

epsilon$ while read LINE; do echo \>"$LINE"; done < "Michal Kawecki"
>>>>>A po co w ogóle filtrować ruch we własnej sieci składającej się z paru
>>>>>komputerków?
>>>> Choćby po to, żeby się robactwo nie rozłaziło po firmie.
>>>Zakładając, że robactwo rozłazi się po udostępnionych zasobach, w jaki
>>>sposób firewallem zapobiegniesz jego rozłażeniu pozostawiając userom
>>>dostęp do tych zasobów? Nie da się mieć ciastka i zjeść ciastka.
>> 1. Błędne założenie. Robactwo może się rozłazić przez różne rzeczy.
>Tak z ciekawości, podaj choć parę przykładów roznoszenia się robactwa
>przez "różne rzeczy". Któremu można zapobiec firewallem.

Nie pamiętasz robactwa np. na MSSQL? A często silnik chodzi tylko na
potrzeby lokalnej aplikacji. To tak na szybko.


-- 
d'`'`'`'`'`'`'`'`'`'`'`'`'Yb 
`b  Kruk@epsilon.eu.org   d' 
d' http://epsilon.eu.org/ Yb 
`b,-,.,-,.,-,.,-,.,-,.,-,.d' 

Dnia Wed, 28 Apr 2010 11:20:39 +0200, Mariusz Kruk napisał(a):

> epsilon$ while read LINE; do echo \>"$LINE"; done < "Michal Kawecki"
>>>>>>A po co w ogóle filtrować ruch we własnej sieci składającej się z paru
>>>>>>komputerków?
>>>>> Choćby po to, żeby się robactwo nie rozłaziło po firmie.
>>>>Zakładając, że robactwo rozłazi się po udostępnionych zasobach, w jaki
>>>>sposób firewallem zapobiegniesz jego rozłażeniu pozostawiając userom
>>>>dostęp do tych zasobów? Nie da się mieć ciastka i zjeść ciastka.
>>> 1. Błędne założenie. Robactwo może się rozłazić przez różne rzeczy.
>>Tak z ciekawości, podaj choć parę przykładów roznoszenia się robactwa
>>przez "różne rzeczy". Któremu można zapobiec firewallem.
> 
> Nie pamiętasz robactwa np. na MSSQL? 

Pamiętam sporo innych exploitów, tyle że atakujących rozmaite serwery
usług, a nie normalne stacje robocze. Pamiętam też, że sam nieco
wcześniej wspominałem o paru procentach maszyn, które trzeba chronić w
sposób szczególny. 
Napisz może coś o exploitach atakujących zwykłe stacje robocze, bo w
dalszym ciągu nie widzę celu i sensu włączania na nich firewalla.

> A często silnik chodzi tylko na
> potrzeby lokalnej aplikacji. To tak na szybko.

W takim razie firewall będzie tu bezużyteczny, bo w MS SQL dostęp po
TCP/IP jest domyślnie wyłączony - tak więc nie bardzo jest ani co
atakować, ani też co chronić.
-- 
M.   [Windows Desktop Experience MVP]
/odpowiadając na priv zmień px na pl/
https://mvp.support.microsoft.com/profile/Michal.Kawecki

epsilon$ while read LINE; do echo \>"$LINE"; done < "Michal Kawecki"
>>>>>>>A po co w ogóle filtrować ruch we własnej sieci składającej się z paru
>>>>>>>komputerków?
>>>>>> Choćby po to, żeby się robactwo nie rozłaziło po firmie.
>>>>>Zakładając, że robactwo rozłazi się po udostępnionych zasobach, w jaki
>>>>>sposób firewallem zapobiegniesz jego rozłażeniu pozostawiając userom
>>>>>dostęp do tych zasobów? Nie da się mieć ciastka i zjeść ciastka.
>>>> 1. Błędne założenie. Robactwo może się rozłazić przez różne rzeczy.
>>>Tak z ciekawości, podaj choć parę przykładów roznoszenia się robactwa
>>>przez "różne rzeczy". Któremu można zapobiec firewallem.
>> Nie pamiętasz robactwa np. na MSSQL? 
>Pamiętam sporo innych exploitów, tyle że atakujących rozmaite serwery
>usług, a nie normalne stacje robocze. Pamiętam też, że sam nieco
>wcześniej wspominałem o paru procentach maszyn, które trzeba chronić w
>sposób szczególny. 

Zapominasz o tym, że:
1) stacje robocze jak najbardziej mogą być serwerami usług. Zwłaszcza
w przypadku przywoływanych przez Ciebie co chwilę małych
przedsiębiorstw.
2) robactwo może się przenosić drogą stacja robocza->serwer. Czemu
nie? Jak się okaże, że ten wektor ataku jest opłacalny, takie rzeczy też
się pojawią.

>> A często silnik chodzi tylko na
>> potrzeby lokalnej aplikacji. To tak na szybko.
>W takim razie firewall będzie tu bezużyteczny, bo w MS SQL dostęp po
>TCP/IP jest domyślnie wyłączony - tak więc nie bardzo jest ani co
>atakować, ani też co chronić.

Czyli znowu przyczepiłeś się do konkretnego przypadku zamiast spojrzeć
na to jako przykład. Dobrze, niech Ci będzie. Windows są genialnie
bezpieczne, nie potrzebują firewalli, natomiast konieczny na każdej
stacji jest antywirus. Może być?
Nie chce mi się dalej dyskutować, bo nie ma o czym.

-- 
\------------------------/ 
|  Kruk@epsilon.eu.org   | 
| http://epsilon.eu.org/ | 
/------------------------\ 

Dnia Thu, 29 Apr 2010 15:14:22 +0200, Mariusz Kruk napisał(a):

>>> A często silnik chodzi tylko na
>>> potrzeby lokalnej aplikacji. To tak na szybko.
>>W takim razie firewall będzie tu bezużyteczny, bo w MS SQL dostęp po
>>TCP/IP jest domyślnie wyłączony - tak więc nie bardzo jest ani co
>>atakować, ani też co chronić.
> Czyli znowu przyczepiłeś się do konkretnego przypadku zamiast spojrzeć
> na to jako przykład. Dobrze, niech Ci będzie. Windows są genialnie
> bezpieczne, nie potrzebują firewalli, natomiast konieczny na każdej
> stacji jest antywirus. Może być?
> Nie chce mi się dalej dyskutować, bo nie ma o czym.

Wtrącę, że są tak samo bezpieczne jak *niksy, na których latają
tysiącami spam/phishing/botnety - wszystko na dziurach softu webowego,
który jakby nie patrzeć stoi głównie *niksami. To, że nie uzyskuje
roota, nie znaczy, że nie jest szkodnikiem.

To nie Windows jest dziurawy per se, ale pewne usługi lub sposób
wykorzystania (praca na administratorze).

-- 
pozdrawiam
Sylwester Zarębski

Aby wysłać email zmień zbieracz w adresie na sylwek