Windows Built-In Security: Sicurezza fai da te! (e senza Antivirus, Firewall, ecc)

[Sisupoika]

Originariamente inviato da bCyclon

ho provato, admincmd rosso e questo e' tutto:





p.s. nello script aggiornato per admincmd manca all'inizio @echo off, nn so' se sia voluto

ciao

bCyclon, temo che tu abbia commesso lo stesso errore di oirad87, avviando lo script da SysAdmin.
Cmq postero' uno script che evita questo problema se per sbaglio lo lanciate da SysAdmin.

[marmotta88]

Premetto che non sono uno che si intende di codici e programmazione, ma mi piace smanettare. Ho XP Home e ho provato a creare il firewall, quando apro la porta 80, se ho capito bene si dovrebbe connettere solo Internet Explorer, ma a me si connette tutto (eMule, Skype, Outlook express...) tranne il browser.
Ho provato a configurare le porte 80 e 443 come nell'esempio di setup, ma il problema persiste!
Allora ho cancellato il mio file e ho scaricato il file pronto (firewall.msc), il problema ora è che si connette qualsiasi roba compreso IE!
Il mio firewall preesistente, non l'ho disinstallato, ma solo disattivato, però i risultati sono identici che sia attivato o no!
Sapete dirmi dove ho sbagliato?
grazie in anticipo

[oirad87]

Originariamente inviato da Sisupoika

E quello e' un explorer avviato con AdminShell, giusto?

Esatto

[cagnaluia]

mi interessano due cose:

1. il discorso delle policy per circoscrivere l'utente (o gruppo di utenti, meglio) al massimo. (e far intervenire SOLO l'admin per le installazioni, o gruppo di utenti amministratori).

2. ridistribuire il contenuto delle cartelle personali su ogni PC facciano il login. Magari anche la posta elettronica. (Ms. Outlook, da Exchange Server)

[bCyclon]

Originariamente inviato da Sisupoika

E quello e' un explorer avviato con AdminShell, giusto?




bCyclon, mi spiace, ma avrai sicuramente fatto qualche errore nella procedura
Cmq non demordere, so gia' preparando l'addon per nlite
Ti bastera' integrare il pacchetto.
Faro' anche una sorta di setup batch automatico per apportare tutte queste modifiche al sistema in una volta, senza che impazziate

grande!

certo che ti stai sbattendo x noi senza ricevere nemmeno 1 minimo €..bravo e complimenti!

[kmarraff]

Mi associo nella discussione...

faccio i miei complimenti all'autore "Sisupoika" guida molto originale e istruttiva, da un tocco sicuramente positivo a questa sezione, che è diventata monotona e ripetitiva negli ultimi tempi, a mio avviso... e inoltre ammirevole la tua buona volontà, disponibilità ed educazione anche quando sei stato criticato in modo ingiustificato.

@Sisupoika

Ti informo che ho messo in atto quanto descritto nella tua guida e non ho rilevato nessun problema, funziona tutto in maniera corretta, ora testo per quanche giorno e poi ti/vi faccio sapere.

Ciao.

[Sisupoika]

Originariamente inviato da kmarraff

Mi associo nella discussione...

faccio i miei complimenti all'autore "Sisupoika" guida molto originale e istruttiva, da un tocco sicuramente positivo a questa sezione, che è diventata monotona e ripetitiva negli ultimi tempi, a mio avviso... e inoltre ammirevole la tua buona volontà, disponibilità ed educazione anche quando sei stato criticato in modo ingiustificato.

@Sisupoika

Ti informo che ho messo in atto quanto descritto nella tua guida e non ho rilevato nessun problema, funziona tutto in maniera corretta, ora testo per quanche giorno e poi ti/vi faccio sapere.

Ciao.

Perfetto, grazie per il post e mi fa piacere che tu non abbia incontrato difficolta'. Comunque come detto sto preparando una procedura automatica, che si possa volendo anche integrare nel setup di Windows con nLite. L'unico problema e' che temo dovro' mettere su una procedura temporanea per il momento, e fare qualcosa di piu' "elegante" appena torno, perche' infatti da Sabato prossimo saro' in Finlandia per due settimane.

Ciao e ricordati di NON eseguire gli scripts sotto SysAdmin
Potresti avere lo stesso problema con gli utente incontrato da altri. Devo anche ricordare di modificare gli script per evitare questo problema.

[FOXYLADY]

Aspettiamo tue notizie allora, e buona Finlandia .
Io non ho ancora provato il tuo sistema, lo farò penso dopo le vacanze.

[kmarraff]

@Sisupoika

Non preoccuparti, ti informo che ho eseguito alcune modifiche alla tua procedura, solo nella parte del nome dell'amministratore, il famoso SysAdmin, il mio ha un altro nome... tranquillo ho aggiornato anche gli scripts in modo che funzionino lo stesso.

Per il momento va tutto ok ho provato ad eseguire anche alcuni malware senza riscontrare problemi, vediamo dopo una settimana di sperimenti che succede.

Ciao.

[juninho85]

Originariamente inviato da Sisupoika

Ma tu avevi abilitato o no le restrizioni software? Prova a rileggere passo passo la guida. Dai, non e' difficile

nulla da fare...possibile che sia l'unico pirla con questo problema?

ho notato ora che la schermata è nera non rossa!

[M@tt82]

Per prima cosa complimenti a Sisupoika per l'interessante guida e la chiarezza con cui è stata realizzata.

Ho provato la configurazione suggerita in una macchina virtuale, e adesso tutto sembra funzionare correttamente.
Ho però riscontrato lo stesso problema che hanno avuto altri utenti con lo script AdminShell.cmd, mi riferisco ad esempio all'utente oirad87.
Il problema in realtà non è nello script, che è corretto, ma nel fatto che con la configurazione di default di Windows, non è possibile lanciare Windows Explorer con privilegi differenti rispetto a quelli dell'utente che ha effettuato il login. Questo avviene perchè con le impostazioni di default Windows Explorer utilizza un solo processo; questo significa che tutte le finestre di "Esplora Risorse" che apriamo risiederanno in un unico processo, anche quella che lanciamo tramite lo script AdminShell, e tutte quindi avranno gli stessi privilegi, quelli del gruppo User dell'utente loggato.
Per risolvere il problema bisogna forzare Windows Explorer a utilizzare un processo differente per ogni finestra:
Pannello di controllo -> Opzioni cartella -> Visualizzazione
e selezionate la voce "Esegui le finestre delle cartelle in un processo separato".

Sul blog di Aaron Margosis ho trovato una toolbar per Explorer interesante che permette di visualizzare i privilegi attuali della finestra. Può essere utile per distinguere la finestra di explorer con diritti amministrativi dalle altre, altrimenti indistinguibili, specialmente se si hanno molte finestre aperte. La trovate qui.

@juninho85:
La prima volta che lanci uno dei due script, ad esempio AdminCMD, la finestra è nera, e ti chiede di inserire la password di amministratore. Quando digiti la password, su schermo non vedrai niente, il cursore non si muoverà, come se non rispondesse all'input della tastiera, ma è normale: in realtà quello che digiti viene letto! Quindi devi digitare la password correttamente senza preoccuparti del cursore che non si muove. Una volta inserita la password di amministratore, ti verrà chiesta nella stessa maniera quella dell'utente limitato. Inserita anche questa verrà avviata la console con diritti amministrativi, quella rossa per intenderci. Le password inserite vengono memorizzate, quindi in futuro non ti verranno più chieste, ma si avvierà direttamente la console "rossa".

@Sisupoika:
ho notato che da utente limitato non posso modificare le cartelle di sistema nè eseguire programmi che non siano nelle cartelle Programmi o Windows; quindi fin qui tutto bene.
Però ho notato che da utente limitato posso disinstallare del software da "pannello di controllo -> installazione applicazioni"
E' normale? Ci sono delle impostazioni per impedire anche questo?

[juninho85]

Originariamente inviato da M@tt82

@juninho85:
La prima volta che lanci uno dei due script, ad esempio AdminCMD, la finestra è nera, e ti chiede di inserire la password di amministratore. Quando digiti la password, su schermo non vedrai niente, il cursore non si muoverà, come se non rispondesse all'input della tastiera, ma è normale: in realtà quello che digiti viene letto! Quindi devi digitare la password correttamente senza preoccuparti del cursore che non si muove. Una volta inserita la password di amministratore, ti verrà chiesta nella stessa maniera quella dell'utente limitato. Inserita anche questa verrà avviata la console con diritti amministrativi, quella rossa per intenderci. Le password inserite vengono memorizzate, quindi in futuro non ti verranno più chieste, ma si avvierà direttamente la console "rossa".

nisba....mi dice che sono sbaglati nome utente e/o password...sarà mica per via della modifica ai nomi degli utenti?

[oirad87]

Originariamente inviato da M@tt82

Per prima cosa complimenti a Sisupoika per l'interessante guida e la chiarezza con cui è stata realizzata.

Ho provato la configurazione suggerita in una macchina virtuale, e adesso tutto sembra funzionare correttamente.
Ho però riscontrato lo stesso problema che hanno avuto altri utenti con lo script AdminShell.cmd, mi riferisco ad esempio all'utente oirad87.
Il problema in realtà non è nello script, che è corretto, ma nel fatto che con la configurazione di default di Windows, non è possibile lanciare Windows Explorer con privilegi differenti rispetto a quelli dell'utente che ha effettuato il login. Questo avviene perchè con le impostazioni di default Windows Explorer utilizza un solo processo; questo significa che tutte le finestre di "Esplora Risorse" che apriamo risiederanno in un unico processo, anche quella che lanciamo tramite lo script AdminShell, e tutte quindi avranno gli stessi privilegi, quelli del gruppo User dell'utente loggato.
Per risolvere il problema bisogna forzare Windows Explorer a utilizzare un processo differente per ogni finestra:
Pannello di controllo -> Opzioni cartella -> Visualizzazione
e selezionate la voce "Esegui le finestre delle cartelle in un processo separato".

Grandissimo!
Ora funziona perfettamente!

Originariamente inviato da M@tt82

Sul blog di Aaron Margosis ho trovato una toolbar per Explorer interesante che permette di visualizzare i privilegi attuali della finestra. Può essere utile per distinguere la finestra di explorer con diritti amministrativi dalle altre, altrimenti indistinguibili, specialmente se si hanno molte finestre aperte. La trovate qui.

Molto interessante.. appena ho 2 minuti la installo.

Originariamente inviato da M@tt82

@Sisupoika:
ho notato che da utente limitato non posso modificare le cartelle di sistema nè eseguire programmi che non siano nelle cartelle Programmi o Windows; quindi fin qui tutto bene.
Però ho notato che da utente limitato posso disinstallare del software da "pannello di controllo -> installazione applicazioni"
E' normale? Ci sono delle impostazioni per impedire anche questo?

Ho provato per curiosità e anche a me permette dal profilo user di disinstallare le applicazioni
Rimango anch'io in attesa di un'eventuale soluzione.
Grazie a tutti per l'aiuto

[kmarraff]

@oirad87 e M@tt82

Non credo che sia normale, almeno a me non lascia disinstallare nulla!
Nella prova che ho fatto ho provato a disinstallare Ccleaner con il seguente risultato.



Ciao.

[Sisupoika]

Originariamente inviato da juninho85

nulla da fare...possibile che sia l'unico pirla con questo problema?

ho notato ora che la schermata è nera non rossa!

Ulteriore conferma che hai saltato qualcosa

Originariamente inviato da M@tt82

Ho però riscontrato lo stesso problema che hanno avuto altri utenti con lo script AdminShell.cmd, mi riferisco ad esempio all'utente oirad87.
Il problema in realtà non è nello script, che è corretto, ma nel fatto che con la configurazione di default di Windows, non è possibile lanciare Windows Explorer con privilegi differenti rispetto a quelli dell'utente che ha effettuato il login. Questo avviene perchè con le impostazioni di default Windows Explorer utilizza un solo processo; questo significa che tutte le finestre di "Esplora Risorse" che apriamo risiederanno in un unico processo, anche quella che lanciamo tramite lo script AdminShell, e tutte quindi avranno gli stessi privilegi, quelli del gruppo User dell'utente loggato.
Per risolvere il problema bisogna forzare Windows Explorer a utilizzare un processo differente per ogni finestra:
Pannello di controllo -> Opzioni cartella -> Visualizzazione
e selezionate la voce "Esegui le finestre delle cartelle in un processo separato".

porc. vacca ho scordato di mettere nella guida il link ad un file .reg che attiva il processo separato da se'
Comunque si puo' fare normalmente come giustamente suggerito da te. Grazie!
Appena posso mettero' un po' d'ordine nella guida.

Sul blog di Aaron Margosis ho trovato una toolbar per Explorer interesante che permette di visualizzare i privilegi attuali della finestra. Può essere utile per distinguere la finestra di explorer con diritti amministrativi dalle altre, altrimenti indistinguibili, specialmente se si hanno molte finestre aperte. La trovate qui.

Puo' essere utile a seconda delle preferenze; io non la uso perche' faccio uso "ristretto" del sistema by default, e so quando apro una shell come admin perche' la apro solo quando mi serve (anche se spesso ne ho aperta comunque una). Pero' puo' essere utile.

@juninho85:
La prima volta che lanci uno dei due script, ad esempio AdminCMD, la finestra è nera, e ti chiede di inserire la password di amministratore. Quando digiti la password, su schermo non vedrai niente, il cursore non si muoverà, come se non rispondesse all'input della tastiera, ma è normale: in realtà quello che digiti viene letto! Quindi devi digitare la password correttamente senza preoccuparti del cursore che non si muove. Una volta inserita la password di amministratore, ti verrà chiesta nella stessa maniera quella dell'utente limitato. Inserita anche questa verrà avviata la console con diritti amministrativi, quella rossa per intenderci. Le password inserite vengono memorizzate, quindi in futuro non ti verranno più chieste, ma si avvierà direttamente la console "rossa".

Secondo me ha saltato o sbagliato qualcosa, perche' dice di non vedere la schermata rossa nel suo caso. Cmq tutti questi "problemini" saranno dimenticati con i nuovi script ecc che alleghero' appena finisco.

@Sisupoika:
ho notato che da utente limitato non posso modificare le cartelle di sistema nè eseguire programmi che non siano nelle cartelle Programmi o Windows; quindi fin qui tutto bene.
Però ho notato che da utente limitato posso disinstallare del software da "pannello di controllo -> installazione applicazioni"
E' normale? Ci sono delle impostazioni per impedire anche questo?

Premetto che cio' non dovrebbe accadere, quindi temo ci sia qualcosa che non va'. Cmq per impedire questa cosa ti basta spostare il file appwiz.cpl che trovi in system32 in un qualunque percorso esterno alla cartella di Windows e quella dei programmi. Cosi' facendo, come per gli altri eseguibili al di fuori delle cartelle consentite, dovrai eseguire come amministratore di sistema altrimenti non funzionera'.
Ma come detto non e' normale che ti consente l'uninstall.
Cmq quando sono a casa controllo per sicurezza.

[Sisupoika]

Originariamente inviato da juninho85

nisba....mi dice che sono sbaglati nome utente e/o password...sarà mica per via della modifica ai nomi degli utenti?

Se hai un po' di pazienza, postero' una procedura automatica che configurera' il tutto senza chiederti niente

[juninho85]

Originariamente inviato da Sisupoika

Se hai un po' di pazienza, postero' una procedura automatica che configurera' il tutto senza chiederti niente

ma quale fretta!...piuttosto tocca ringraziarti per questo thread

[Utonto\Bis]

non vorrei essere banale ma vorrei dirti che sei un grande! non ho ancora letto la guida che hai fatto ... mi sono limitato a leggere le impressioni altrui e le difficolta per capire se cio' chehai scritto è una cosa attendibile o meno... purtroppo in rete molta gente "vende fumo".Ho capito che sei una persona disponibile e molto ragionevole quindi potro addentrarmi nella configurazione all utente limitato... il fatto che sia macchinoso per come la vedo io è una cosa mooooolto affascinante! troppi winzard avanti avanti avanti mi hanno rotto voglio capire come si muovono le cose dietro... almeno una minima parte e tu penso mi darai questa opportunita...

beh dalla mia metto l impatto che puo dare la tua guida ad un UTONTO


vediamo cosa ne viene fuori.....

p.s. usero virtual machine 2007 va bene o opto per altro???

[Sisupoika]

Originariamente inviato da Utonto\Bis

non vorrei essere banale ma vorrei dirti che sei un grande! non ho ancora letto la guida che hai fatto ... mi sono limitato a leggere le impressioni altrui e le difficolta per capire se cio' chehai scritto è una cosa attendibile o meno... purtroppo in rete molta gente "vende fumo".Ho capito che sei una persona disponibile e molto ragionevole quindi potro addentrarmi nella configurazione all utente limitato... il fatto che sia macchinoso per come la vedo io è una cosa mooooolto affascinante! troppi winzard avanti avanti avanti mi hanno rotto voglio capire come si muovono le cose dietro... almeno una minima parte e tu penso mi darai questa opportunita...

beh dalla mia metto l impatto che puo dare la tua guida ad un UTONTO


vediamo cosa ne viene fuori.....

p.s. usero virtual machine 2007 va bene o opto per altro???

Ciao Utonto,

bel nickname

Grazie innanzitutto. Mi fa piacere che tu abbia colto in pieno lo spirito del thread. E mi fa piacere che tu non ti lasci in qualche modo "spaventare" dal fatto che una procedura come questa non e' la piu' immediata.
Se non sei molto pratico di questo genere di cose, basta avere un po' di pazienza e quelli che all'inizio possono sembrare "problemi" o difficolta' svaniscono. Una volta superato lo "scoglio", come si suol dire, ci si rende poi conto che le differenze concrete tra questo modo di usare Windows e quello solito, non sono molte, anzi quasi nulle con piccoli accorgimenti.
Ma le differenze in termini di benefici quelle si', che ci sono

Buona fortuna con la configurazione. Se hai qualche problemino non lasciarti intimorire e chiedi qui. Avrei potuto aprire il thread con dentro senza troppe spiegazioni e con i soli link a procedure belle e pronte, ma ho pensato che di quei thread e guide su "come installare un sw e usarlo" (LOL) ce ne fossero gia' troppe.

Cmq come gia' detto diverse volte postero' appena possibile

- un video che mostri come compiere tutte le operazioni in pochi minuti
- riscrivero' comunque la guida mettendola in ordine, aggiungendo piu' screen shots come richiesto, aggiungendo anche altri accorgimenti
- il link ad una sorta di setup automatico che fara' tutto da solo
- il link ad un addon per nLite*, cosi' da potersi creare un Windows gia' configurato al termine dell'installazione
- nuovi script che facilitino l'utilizzo delle applicazioni con diritti amministrativi, e risolvano i problemi riscontrati da alcuni con la gestione dei diversi accounts

*nLite: sembra ci sia un problema nella gestione degli utenti se le modifiche vengono effettuate in fase di installazione. Ho trovato comunque una soluzione alternativa che sembra funzionare, ma ho bisogno di testare ecc ecc (non vorrei farvi bruciare cd e perdere tempo con un Windows che non funziona come dovrebbe )

Purtroppo ho solo un problema al momento: non ho molto tempo in questi giorni perche' devo finire un progetto entro venerdi' perche da sabato sono in Finlandia per due settimane. Quindi temo che dovro' postare questa roba quando torno

[Sisupoika]

Dimenticavo: se puoi usa VMWare. VirtualPC non e' altrettanto efficiente in termini di prestazioni.