Mi aiutate a configurare al meglio Jetico firewall, non c'ho capito praticamente...

[vamp]

Iniziato ad effettuare prove con il nuovo ruleset (scusa per i tempi dilatati ma non uso sempre windows, anzi...).
La table per Emule non sembra essere completa, infatti, sia da connesso che da non connesso ricevo comunque delle "ask user" dal programma per permettere delle outbound connections, che quindi non sono elaborate dalla table.
Ti mostro la cosa con un'immagine:



La riga verde distingue i miei programmi (quelli sotto) dai tuoi.
Come vedi, anche dopo che Emule è stato assegnato alla sua table (cerchiato in rosso) vi sono comunque delle outbound connections non elaborate dalla table (al solito, provare per credere).
Queste non sono in numero eccessivo e permettono comunque una navigazione senza troppe interruzioni.

Da notare che la connessione è avvenuta nel momento in cui il browser, k-meleon, ha richiesto l'accesso, quindi, tali connessioni venivano richieste addirittura prima di essere online, e sono continuate dopo.
Tutte le richieste vengono fatte per porte [Br]emote[/b] inferiori a quelle assegnate dalle rule nella table Emule, e, specificamente per:



Onestamente non mi so spiegare il perché di queste ask, visto che nella table di emule comunque c'è una regola di Reject per qualunque evento non incluso nelle regole soprastanti.
E' un'anomalia, e non mi piace.
Va anche detto che non metterei un range di porte remoto, visto che è possibilissimo che alcuni utenti decidano di far lavorare Emule anche su porte inferiori alla 1024 (da cui il mio Accept in fase di richiesta).

Riguardo al log, sembra che i "Block all not processd ip packets" siano di gran lunga diminuiti (pur giustamente restando).
Accanto ad essi qualche sporadico
Block ICMP e Deny All Fragmented Packets.

Non ho avuto ancora modo di studiare bene il ruleset, ma solo di effettuare questa prova, per cui non so ancora giudicarne la sicurezza e validità.


EDITED
Sempre nella table di Emule vedo che non hai specificato il protocollo nelle rule senda datagrams & receive datagrams, inoltre non hai inserito limitazioni sulle porte locali, quindi, giudico queste 2 regoole troppo permissive e migliorabili.

[gavel]

No, la eMule table non e' definitiva, hai messo spunto sul "reject"

per fare test con eMule intendevo che la acceti nel "ask user"==> "handle as.." ==> "Network Activity" ==>Log Level==>debug, e cosi fa con browser, guarda nel log e dica che cosa sucede.

[vamp]

Yawn yawn, visto, mancava il segno di spunta su reject, ecco perché avvisava.
Ho modificato la table (e 1po' il ruleset qua e là) dando più libertà sulle Remote Port, te lo allego.

Domani faccio le altre prove che mi hai segnalato e studio meglio il ruleset originale che mi hai allegato.

[andrea.ippo]

Originariamente inviato da vamp

Yawn yawn, visto, mancava il segno di spunta su reject, ecco perché avvisava.
Ho modificato la table (e 1po' il ruleset qua e là) dando più libertà sulle Remote Port, te lo allego.

Domani faccio le altre prove che mi hai segnalato e studio meglio il ruleset originale che mi hai allegato.

Dato che il thread si sta allungando, propongo di mettere in rilievo le configurazioni uppate dagli utenti (a proposito, ma dov'è finita quella di ciaba?) nel primo post

[vamp]

Piccolo aggiornamento sui leaktest e risultati:

http://www.matousec.com/projects/win...ts-results.php

News:

http://www.matousec.com/info/

[f250gto]

Originariamente inviato da vamp

Piccolo aggiornamento sui leaktest e risultati:

http://www.matousec.com/projects/win...ts-results.php

News:

http://www.matousec.com/info/

Questi test si riferiscono a Jetico 2 beta!
Con Jetico 1 i risultati sono gli stessi?

[vamp]

2 premesse

-a- non ho mai lavorato a sufficienza con Jetico v2 perché sto aspettando che non sia più in beta

-b- la release a cui si fa riferimento in quei test è sorpassata, l'ultimo rilascio di metà dicembre (released 2.0.0.20 beta) comprende importanti aggiornamenti* che penso migliorino ulteriormente l'esito dei test

Detto ciò, con la versione 1 le principali differenze da me ottenute rispetto a quanto riportato nel link sopra sono:

- PCaudit viene rilevato e bloccato senza alcun problema (mi pare strano che in Jetico 2 ciò non avvenga )

- Breakout 1 e 2 dovrei verificare con l'Optimal protection, con un ruleset modificato mi sembra siano intercettabili anche con Jetico 1

- Jumper su Jetico 1 non viene rilevato

- Il DNS test su Jetico 1 con ruleset standard non viene rilevato


*Questi i maggiori cambiamenti rispetto alle precedenti:

- Windows Vista supportato
- Fixato il possibile crash in seguito ad intensa attività di log
- "Relazione relativa indiretta"
è stato inserita questa modalità indiretta di accesso al network che prevede un'operazione complessa di questo tipo
process_1-parent->process_2-interprocess call->process_3 **
- aggiunto il bottone "Sfoglia" per l'editor dei gruppi di applicazione
- aggiornato il popup di dialogo
- fixato il log della terminazione ID di processo
- fixata la procedura di upgrade del firewall


**
Riguardo la modalità "Relazione relativa indiretta" (indirect relativeness) vediamo come la spiega lo stesso Nail Karpov

----

"indirect relativeness" is new name only. In previous versions following situations were possible:

1. Application X.EXE starts Internet Explorer, so X.EXE->IE relatioship is marked as "parent process".
2. Internet Explorer makes DNS request via DNS client service hosted by svchost.exe. IE->svchost.exe relatioship is marked as "inter-process call".

Now when svchost.exe sends DNS query packet, "The X.EXE requests indirect access to network. Method: parent process, Application: c:\windows\system32\svchost.exe" popup would be displayed.

In order to resolve this ambiguity we introduced "indirect relativeness" term for such complex relationships. Frankly speaking, the term itself looks awful. Maybe we'll find better one.

----

abbozzata traduzione:

La "Relazione relativa indiretta" è solo un nuovo nome, nelle precedenti versioni le seguenti situazioni erano possibili:
-1- L'applicazione X.exe avvia Internet Explorer, così la relazione tra X.exe e IE è contrassegnata come "processo parente"
-2- Internet Explorer fa una richiesta DNS attraverso un client DNS ospitato da svchost.exe. La relazione tra IE e svchost.exe è contrassegnata come "chiamata interprocesso".

Ora, quando svchost.exe manda il pacchetto con la richiesta DNS, viene mostrato il seguente popup: "X.exe richiede un accesso indiretto al network. Il metodo è il processo parente, l'applicazione è c:\windows\system32\svchost.exe"

[Theroldeg]

... che temo di aver "bloccato" tramite qualche regola di jetico troppo stretta. Se lancio una stampa mi dice "impossibile realizzare una connessione" (o giù di lì".
La stampante lavora tramite Ethernet. Sono molto newbie, quindi vi chiedo se mi aiutate a capire l'IP e come fare per verificare cosa succede ?

Tks



PS dove sono le rules di Olap ?

[nV 25]

ammazza che piega tecnica che ha preso questo thread .....
per seguirvi sono costretto a prender carta, penna e calamaio...e nonostante ciò poi alla fine mi perdo ugualmente....



Cmq (e per quanto mi riguarda), ben vengano su Hw persone come voi....

Saluti alla finlandia o da dove postate.....

[vamp]

temo di aver "bloccato" tramite qualche regola di jetico troppo stretta. Se lancio una stampa mi dice "impossibile realizzare una connessione" (o giù di lì".La stampante lavora tramite Ethernet.

Io purtroppo non ho la stampante, comunque vediamo di cosa possa trattarsi:

-1- accertiamoci che il problema derivi da Jetico e non sia di altra natura ... se carichi la policy "Allow All" risci a stampare?

-2- in Ask User il processo Spoolsv.exe è "accettato"?

-3- hai scritto che la stampante lavora tramite ethernet (è condivisa? è collegata ad un hub? sei in una rete? il tuo PC è il server o un client?), allora è possibile che tu debba mettere l'indirizzo IP della tua stampante nella trusted zone di Jetico
Per ottenere l'indirizzo ip di essa devi, a Jetico chiuso o con policy su allow all dare, nel prompt dei comandi del dos, dare il seguente:
ipconfig /all

-4- Hai messo mano alle regole concernenti il DHCP? Hai utilizzato le regole per bloccare il NETBIOS?

Poiché tu stesso dici di aver messo mano al ruleset di Jetico, fai anche questa ulteriore prova, salvati dove vuoi il tuo ruleset personalizato, quindi riporta Jetico ai valori di default
File -> Revert to factory settings
e applica la policy Optimal Protection come è, senza metterci amno (a parte rispondere ai vari Ask user che conseguiranno).
Con tale policy "pulita" la "connessione" alla stampante riesce?


Confermami anche gli eventuali esatti messaggi di errore che dovessi ottenere.

PS dove sono le rules di Olap ?

Credo le trovi allegate diversi post addietro su questa stessa discussione, purtroppo (?) parliamo di 30 pagine, quindi dovrai cercarle da te :P

@ nV 25
esagerato!
cerchiamo solo di capirci di+, del resto anke te mi sembra non skerzi

[Theroldeg]

grazie per i suggerimenti.
Dopo aver disabilitato Jetico sono riuscito a stampare. Ho dato una nuova occhiata alle rules della Optimal Policy (OP) e ho trovato un blocco su una "Spoolsv.exe". Eliminato e la stampante in OP ha ripreso a funzionare. Nei prossimi giorni riprovo direttamente in OP.
In realtà il mio PV à stand alone e la scheda di rete la uso per mancanza al momento di cavo USB
sul punto 4 se lo ho fatto è stato per caso (4- Hai messo mano alle regole concernenti il DHCP? Hai utilizzato le regole per bloccare il NETBIOS?) non so neppure di cosa si stia parlando.....

Per Olap mi armo di paziena uno di questi giorni provo a scorrere il Thread (nn c'è possibilità di ricerca smart ?

Grazie e buon natale (in ritardo) e buon anno

[Theroldeg]

Sempre per Vamp (o chiunque altro mi voglia aiutare)...
La situazione è tornata quella del primo msg, ovvero niente da fare. Ho provato a passare in Allow all e nulla è cambiato. A questo punto il problema non è Jetico ma qualche altra stranezza. Cercherò su un altro forum. Mi date qualche idea dove cercare la risposta o sottoporre il quesito ?
Grazie ancora.

[nefy]

mi sono accorto che da un mese circa (!) qualcuno o qualcosa ha cancellato completamente la Optimal Protection con la mia configurazione da Jetico rimasto settato su Allow All! Non mi sono accorto di nulla dato che Jetico fa il suo lavoro molto discretamente...ma da un pò di giorni ho notato rallentamenti nella navigazione e segni inequivocabili di malware, cose che avevo ormai dimenticato; per fortuna avevo un backup di sistema ed ho potuto reinstallare tutto.
Vi risultano programmi o attacchi in grado di fare ciò? si può proteggere J in qualche maniera?

[nefy]

si può verificare l'efficacia della propria configurazione con un unico test online e quale? I test online di grc.com sono affidabili? la mia config li supera tutti...

[gavel]

http://www.securityspace.com/smysecure/index.html

Esamina il tuo sistema con 11691 vulnerabilità
Ti devi registrare! E' puoi usare
No Risk Audit(Free) e' Basic Audit(Free)
Dura intorno a 3 ore!

[nefy]

grazie Gavel; risulta a nessuno allora che esista qualche malware in grado di cancellare la config di Jetico?

Ho scaricato i file di gavel e di olap, possono essere usati subito così come sono o richiedono ulteriori settaggi?

[nefy]

Originariamente inviato da gavel

http://www.securityspace.com/smysecure/index.html

Esamina il tuo sistema con 11691 vulnerabilità

Ho visto però che molti dei test sono per mac, linux ecc. sai dirmi quali sono necessari per un pc? Hai testato la tua configurazione e con quali risultati?

[f250gto]

Originariamente inviato da nefy

mi sono accorto che da un mese circa (!) qualcuno o qualcosa ha cancellato completamente la Optimal Protection con la mia configurazione da Jetico rimasto settato su Allow All! Non mi sono accorto di nulla dato che Jetico fa il suo lavoro molto discretamente...ma da un pò di giorni ho notato rallentamenti nella navigazione e segni inequivocabili di malware, cose che avevo ormai dimenticato; per fortuna avevo un backup di sistema ed ho potuto reinstallare tutto.
Vi risultano programmi o attacchi in grado di fare ciò? si può proteggere J in qualche maniera?

Puoi installare come ho fatto io, SSM free che ti protegge nel caso qualche malware ti distattivi il firewall
è un software hips completamente gratuito ma un po' complicato da configurare.
Puoi trovare chiarimenti sui software hips su questo thread:
http://www.hwupgrade.it/forum/showthread.php?t=1064733

[gavel]

Originariamente inviato da nefy
qualcuno o qualcosa ha cancellato completamente la Optimal Protection con la mia configurazione da Jetico rimasto settato su Allow All!risulta a nessuno allora che esista qualche malware in grado di cancellare la config di Jetico?

Penso che e' stato qualcuno, e'non qualcosa (per farlo, dovrebbe essere malware creato apposito per Jetico).

da nefy
Ho visto però che molti dei test sono per mac, linux ecc. sai dirmi quali sono necessari per un pc? Hai testato la tua configurazione e con quali risultati?

Puoi usare test "No Risk" e' "Basic" che durano da 90 min fino a 3 ore.
Quando e'finito apri "Reports" e' vedrai gli risultati del test.
Dovresti ricevere una mail come questa:

Hello,
A manual review of your audit results has been conducted
by SecuritySpace staff. As indicated by the current
report on-line, we were not able to find any High or
Medium Risk problems during the course of the audit.

Congratulations!
SecuritySpace Support

Per ottenere questo e' stata usata questa ruleset:

[nefy]

ho scaricato sia la config di nail/olap che quella di gavel; come comportarsi per personalizzare la propria? basta dare l'allow alle richieste di jetico o i vari programmi vanno indirizzati in table specifiche?

x f250gto: mi consigli di sostituire AVG free con il nuovo antivir di aol?