Windows Built-In Security: Sicurezza fai da te! (e senza Antivirus, Firewall, ecc)

[Sisupoika]

Ciao a tutti,

e' da un bel po' che non mi faccio vedere in questa sezione per mancanza di tempo, pero' almeno sono tornato a leggerla, anche se di solito non ho molto tempo per seguirla attivamente e scriverci.

Ad ogni modo, visto il proliferare di threads del tipo "Quale antivirus?" o "Quale e' il miglior firewall?", senza contare le allarmate richieste di aiuto nella apposita sezione, da parte di chi e' rimasto "infetto" o ha subito una qualche forma di attacco, ho deciso di scrivere una sorta di breve guida, tutorial, chiamatelo come vi pare ( ), su un modo di intendere la sicurezza in sistemi operativi Windows, purtroppo molto diverso da quello della maggioranza degli utenti di questo sistema operativo.
Premetto le scuse per la lunghezza del post, ma spero i piu' ne traggano delle informazioni utili, e da esso possa nascere una discussione utile e costruttiva, con lo scopo di arricchire queste informazioni, se possibile,
col contributo di tutti gli iinteressati.

I motivi per cui ho deciso di scrivere questa sorta di guida sono, principalmente:
- la maggioranza degli utenti NON conosce il sistema operativo Windows;
- di conseguenza, when it comes to security...si lascia abbindolare, o quantomeno convincere, da falsi miti che durano a morire, tipo che Windows in termini di sicurezza faccia letteralmente "schifo", con frequenti inviti da parte di sedicenti esperti del tipo "passa a Linux, e' piu' sicuro", senza migliore giustificazione;
- l'utente tipico, non conoscendo purtroppo Windows come sarebbe auspicabile, e' convinto che Windows (senza particolari distinzioni) sia un colabrodo e che sia strettamente necessario dotarlo di un ottimo firewall, di un ottimo antivirus, di un ottimo anti-spyware e cosi' via, affinche' ci si possa sentire "sicuri" in un era in cui attacchi e malware di qualunque tipo sono all'ordine del giorno.
- conseguenza di cio', l'utente alimenta un mercato, quello degli antivirus, dei firewall, ecc ecc, PERFETTAMENTE INUTILE, come cerchero' di spiegare piu' avanti. Mi rendo perfettamente conto che quest'affermazione possa risuonare come forte, ma questa purtroppo e' un'altra conseguenza della cattiva informazione/preparazione circa la sicurezza in Windows. Si tratta, ripeto, a mio avviso (e non solo, basta googlare), di un mercato inutile poiche' firewalls, antiviruses, antispywares and so on, intesi come elementi software che vanno ad "aggiungersi" al sistema operativo,
non avrebbero alcuna ragione di esistere se l'utente conoscesse il sistema operativo, e se egli fosse naturalmente piu' cauto nell'utilizzare il proprio pc.
Un pc non e' un televisore, non basta premere un pulsante per ottenere l'effetto desiderato che sia uno soltanto possibile, in reazione ad un solo, determinato comando.
Un computer richiede tutt'altro tipo di approccio, e in particolare una costante attenzione a cio' che si fa, perche' una stessa azione, a seconda del "come", del "quando", ecc, puo' avere un effetto diverso con un pc.
Chiusa questa parentesi, mi permetto di affermare in questa sede una cosa che non e' molto popolare tra gli utenti di pc: Windows, credetemi, e' molto piu' sicuro
di quanto non si creda.
Se c'e' una colpa in particolare che attribuisco a Microsoft come azienda, fra le tante, e' che all'epoca ha adottato delle politiche di prodotto di contro-tendenza rispetto a sistemi operativi, per esempio, unix-like,
preferendo l'estrema facilita' di utilizzo a tutto il resto. Questo approccio ha portato dalla sua parte la stragrande maggioranza dei consumatori - che nel tempo si "ribellano" contro questo monopolio che tuttora persiste, pero' al tempo spesso si arrendono spesso ad usare Windows, perche' "costretti" dal software, dai formati file, ecc ecc.
Tra le altre caratteristiche rispetto alle quali Microsoft ha considerato prioritaria la facilita' d'uso, c'e' appunto la materia sicurezza. Questo non significa, come quasi tutti pensano,
che la sicurezza in Windows sia inesistente o al piu' "faccia pena", e che Windows sia in generale un colabrodo; significa che Windows e' stato consegnato da sempre, nelle mani dell'utente, in una condizione tale da essere
molto, molto, molto meno sicuro rispetto a sistemi operativi concorrenti molto piu' sicuri, ma anche molto, molto meno facili da utilizzare. Accanto a questa grande colpa, ve n'e' un'altra: la scarsa importanza attribuita - almeno - al diffondere materiale che educhi l'utente di Windows su come renderlo piu' sicuro, conoscendo meglio il sistema operativo stesso.

Passando in esame dunque queste due "affermazioni" (in particolare con riguardo ad Antivirus, Antispyware ecc, per questa prima premessa):
1) Windows NON e' un colabrodo: la principale causa della scarsa sicurezza di "default" di questo sistema operativo e' dovuta, semplicemente, al fatto che una volta installato Windows l'utente e' gia' Administrator,
ovvero ha pieni privilegi per compiere qualunque operazione sul sistema operativo, anche distruttiva. Poc'anzi mi riferivo al fatto che Unix, Linux, ecc ecc prevedono che l'utente utilizzi, per le sue attivita' quitidiane, un account "limitato", che non possa cioe' compiere direttamente operazioni di basso livello sul sistema operativo. In queste condizioni, se un utente necessita di eseguire un'operazione con diritti di amministratore, puo' eseguire un processo qualificandosi come Administrator. Ma si tratta di un processo "isolato".
Tutti gli altri processi vengono eseguiti con gli stessi diritti dell'utente che li esegue, cioe' limitati, motivo per cui non possono compiere operazioni di basso livello sul sistema operativo.
Cio' significa che anche un malware, ad esempio un virus, che cerchi di insediarsi in risorse di sistema per creare un qualche tipo di danno, non avrebbe molto da fare in questo tipo di contesto, perche' i suoi poteri sul sistema sarebbero gli stessi dell'utente, quindi molto limitati.
Questa e' una ragione per cui virus, ad esempio, non si diffondono granche' su altri sistemi operativi, anche se bisogna ammettere che c'e' anche un'altra ragione in questo caso, e cioe' il targeting. Windows e' certamente preso di mira. Ma gli autori di malware non hanno vita facile nello scrivere malware che funzioni per un sistema come Linux (per esempio), proprio per le ragioni ora esposte.
In Windows, poiche' un probabile 90-95% degli utenti lavora sotto un profilo di "Administrator" by default, un autore di malware ha vita piu' o meno spassosa perche' puo' scrivere una marea di tipi di malware che facciano danni di diverso tipo,proprio perche' il malware potrebbe far di tutto nel sistema avendo anch'esso, come l'utente, diritti di amministratore.
Per questa ragione, assieme ad altre di minore probabilita', Windows e' target di questi soggetti. Ed e' grazie a questa colpa di Microsoft, intendo: di questo suo setup by default, che oggi giorno ci sono letteralmente - si stima - piu' di 600.000 tra virus vari e loro varianti.
2) Naturale conseguenza dell'ignoranza dell'utente medio, assieme con il contesto appena descritto e, purtroppo, tipico in ambiente Windows, e' che l'utente HA BISOGNO del migliore antivirus, del migliore firewall (per i firewall c'e' un discorso a parte, che vedremo presto), ecc, ecc al fine di essere sicuro.
Bene, questo non e' altro che un FALSO SENSO DI SICUREZZA. Pensate alle email con signature attaccata dai soliti antivirus, del tipo "100% Virus-Free", o "Virus-Checked" ecc ecc. L'utente si sente sicuro perche' ha questi software attivi sul proprio Windows.
Niente di piu' sbagliato!!!
Per quanto riguarda gli Antivirus, per darvi una idea del modo in cui questi software lavorano e della loro reale efficacia, numeri (di virus-signatures) a parte, vi propongo un paragone indovinato che io stesso ho letto da qualche parte in rete, in qualche articolo.
Immaginate che il vostro pc sia un aeroporto, e che il vostro antivirus siano gli agenti della sicurezza. Un tale Osama Bin Laden, con un ruck-sack con sopra scritto, a caratteri cubitali, "BOMB", tenta di passare i controlli di sicurezza, gridando ad alta voce "I gotta kill you all!". Al controllo, gli agenti (l'antivirus) ascoltano il tale (il virus) gridare a quel modo, con la bomba addosso, ma lo fanno passare perche'....non c'e' ancora il suo nome (virus signature) nella lista dei sospetti (antivirus'database).
Il risultato? BOOM!
Se ci pensate, e' proprio il modo in cui gli antivirus operano, a proposito di database delle "definizioni dei virus". La sansione realtime euristica contro malware non noti e' qualcosa che suona di fantascientifico, la cui efficiaca e' molto distante da quella che la gente crede.
L'efficacia in generale di un Antivirus e' semplicemente qualcosa che NON si puo' prendere per scontato. Quante volte avete letto, in questo stesso forum, che l'utente coll'antivirus X ha dovuto poi ripulire con l'antivirus Y un virus che X non aveva trovato, e che erano entrati con scansione realtime (anche euristica) attiva?
Se c'e' un unico, vero effetto, di un software antivirus su un sistema operativo Windows, e' semplicemente quello di degradarne le prestazioni, la responsivita'.
Alcuni antivirus sono molto leggeri (leggasi: Avira, Nod32, per esempio), altri meno (chi ha detto Norton?), ma tutti, chi piu' o meno, rallentano il sistema senza garantire un bel nulla.
A che serve avere una Ferrari se la si costringe a viaggiare quanto una Cinquecento?
Come ho letto nella signature di qualche utente, in qualche forum (non ricordo quale): "Se il tuo computer e' lento, o e' un virus, o e' un Antivirus".
Coloro tra voi che ritengono che un Antivirus (e lo spendere denaro per esso, per coloro i quali lo comprano) sia strettamente necessario ai fini della sicurezza, sono in errore, e sono liberi di esserlo, se vogliono.
Io dico (e naturalmente non e' invenzione mia) che un Windows configurato opportunamente, e usato opportunamente, NON HA BISOGNO DI ALCUN ANTIVIRUS, O SPYWARE, O - come vedremo tra poco - DI UN FIREWALL, qualora con questi termini si intendano software di terze parti che vadano "aggiunti" a Windows.
Prima che me ne dimentichi, una considerazione comune su queste categorie di "software per la sicurezza": tutti questi tools girano su Windows in modi differenti (es. processi, servizi di sistema, ecc ecc), ma sono sempre qualcosa di aggiunto e c'e' SEMPRE, e ripeto SEMPRE, modo e maniera di bypassarli. E come gia' detto, essendo sempre qualcosa di aggiuntivo, che filtra tutto il tempo qualcosa, non puo' non degradare le prestazioni rispetto a Windows sulla stessa macchina, ma senza tali software. Pausa.
Chiudo la premessa sugli Anti-malware con una affermazione di Aaron Margosis (i cui articoli sono grandemente consigliati), Microsoft, il quale dice: "E' meglio utilizzare Windows come UTENTE LIMITATO *SENZA* ANTIVIRUS, che come ADMINISTRATOR CON ANTIVIRUS".
Anche se, un account limitato da solo, in Windows, non basta. Vedremo infatti che una situazione ideale per la sicurezza, in Windows, vede un account limitato + delle policies di restrizioni sul software, che vedremo anche come gestire al meglio senza dolore visto che usare un utente limitato, con restrizioni sul software, puo' essere molto poco comfortevole senza i suggerimenti che vi daro' di seguito.

Software-Firewalls.

Le stesse premesse sul falso senso di sicurezza circa Anti-malware, valgono, anche se in maniera differente, per i cosiddetti "software firewall", software, cioe', che vanno installati su Windows e che permettono all'utente di tenere un certo controllo sull'utilizzo di Internet da parte di processi e applicazioni, e allo stesso tempo prevenire intrusioni nel proprio sistema.
Un hardware firewall (o anche, in misura minore, routers con alcune funzioni di firewalling e NAT), e' CosaBuonaEGiusta™. E' esterno al pc, puo' proteggere piu' computer, impatto quasi nullo sulle prestazioni della connessione Internet e protezione elevata se adeguatamente configurato.
Un software firewall inteso, ripeto (per evitare incomprensioni), come qualcosa che va "aggiunto" al sistema operativo, sono roba praticamente inutile, come vedremo.
Questo perche' anche Windows, ha gia' degli strumenti che ci consentono di restringere in maniera sicura il modo in cui la connessione internet (e in generale di rete) viene usata, senza alcun impatto sulle prestazioni di sistema e della nostra connessione Internet, semplicemente utilizzando componenti che il sistema operativo ha gia'.
Un qualunque software firewall di terze parti da installare, anche uno leggero come Look'n Stop, Ghostwall, e altri, comunque e' sempre un filtro aggiuntivo al sistema e in quanto tale impatta piu' o meno sul sistema.


Vediamo dunque ora come implementare una configurazione del nostro Windows tale da rendere superfluo l'uso di Antivirus, AntiSpyware, Firewall, anche se ci saranno delle considerazioni da fare di volta in volta.
Nel procedere postero' degli screen shots, ma purtroppo non possiedo una versione italiana di Windows quindi spero non incontriate difficolta' ad usare il vostro Windows mentre vi accingete a replicare queste implementazioni. Ma non penso avrete difficolta' a trovare le voci in Italiano
Se poi volete vi posso postare gli screen della versione finlandese...LOL

NOTA: se seguite le mie istruzioni, non avrete alcun problema e vi ritroverete con un Windows molto piu' sicuro, ma naturalmente come sempre NON mi assumo nessuna responsabilita' nel caso facciate errori ecc ecc.
Questo genere di setup e' per chi vuole smanettare, provare, imparare, ecc, e al tempo stesso trarne dei benefici concreti da questi "esperimenti" (per i non iniziati).

Inizierei dal


1) FIREWALL.

Premetto che al termine postero' i file pronti per chi voglia "la pappa pronta", ma vi invito a provare da voi, anche per imparare qualcosa di nuovo sul vostro Windows.

- Assicuratevi che il servizio IPSEC sia attivo in Windows. Purtroppo molti geniacci in rete consigliano di disattivarlo per "liberare risorse". Ma che porcate, finitela!
- Disinstallate il firewall, se ne avete uno, e disattivate l'altrettanto inutile servizio Windows Firewall (chiedete se non sapete come) e se volete chiudete la vostra connessione internet per evitare che (fortuna, eh...) ci siano tentativi di intrusione proprio mentre apportate le seguenti modifiche al sistema.

- Premete il tasto Windows contemporaneamente alla lettera R o, se preferite, cliccate Start->Run. Digitate MMC e premete invio.



Cio' avviera' la Management Console del vostro Windows. Cliccate su File->Save, e salvatelo per es. come "Firewall.msc" ad es. sul Desktop.



- Cliccate su File->Add-Remove Snap In->Add->IP Security Policy Management



Cliccate su Local Computer->Finish->Close->OK. Avrete uno schermo del tipo:



- Cliccate su "IP Security Policy Management", e cancellate dalla destra i profili predefiniti di Windows. Ne creeremo uno migliore secondo le nostre esigenze.
Cliccate nuovamente su "IP Security Policy Management", questa volta col tasto destro; Scegliete "Create IP Security Policy" dal menu contestuale, cliccate su Next e date come nome, per es. "Firewall".
Nella schermata successiva del Wizard deselezionate "Activate the default response rule", quindi di nuovo Next lasciando il checkbox "Edit properties" ticked.
Avrete uno schermo come questo



- Lasciate disattivato il primo filtro della lista, e cliccate su Add->Next->This rule does not specify a tunnel (IPSEC viene usato per altre cosette interessanti, ma non ci interessa al momento)->Next->All network connections->Active Directory default (Kerberos).
A questo punto se il computer non fa parte di un dominio, vi verra' chiesta conferma perche' si tratta di una impostazione per un computer che faccia parte di un dominio. Scegliete comunque "Yes". Vi comparira' una nuova lista da cui selezionare, del tipo



- Selezionate "All ICMP Traffic" dalla lista preesistente (che dovrebbe contenere due voci soltanto). Cliccate su Next, e qui viene il bello.
Microsoft ha dimenticato di aggiungere come opzione preesistente la principale, cioe' quella per bloccare qualcosa... Ma possiamo crearla noi.
Infatti elenchera' soltanto "Permit", "Request Security (Optional)", e "Require Security".
Cliccate su Add->Next; date come nome "Block", cliccate Next; scegliete "Block", cliccate su Next->Finish. Troverete l'opzione "Block" aggiunta alla lista di prima.
Selezionatela, cliccate su Next->Finish lasciato il flag Edit Properties deselezionato. Avrete cosi' creato una regola che blocca tutto il traffico ICMP.
Adesso, una modifica IMPORTANTE. Il Wizard assegna come default il mirroring delle regole, che significa: se create una regola che permetta una comunicazione in uscita, verra' automaticamente creata una regola che consenta la stessa comunicazione, ma nel senso opposto!
Questo significa che se aprite la porta 80 per navigare il web, il vostro pc sara' anch'esso disponibile sulla porta 80 come se si trattasse di un server web.
E, naturalmente, noi vogliamo bloccare tutto in ingresso, tranne eccezioni a seconda dei casi.
Doppio click dunque sulla regola appena creata "All ICMP Traffic", doppio click anche nella successiva schermata su "All ICMP Traffic" (questa volta il filtro).
Nella lista dei filtri ve ne sara' soltanto uno, quello creato in precedenza, che blocca tutto il traffico ICMP. Assicuriamoci che la colonna "Mirrored" della lista, dica "No". Nel caso vi fosse un "Yes", doppio click sul filtro, e deselezionate la casella di spunta "Mirrored. Also matches packets with the exact opposite source and destination addresses", per poi confermare e salvare la modifica premendo OK due volte e poi Close.

- Ripetiamo esattamente gli stessi steps, questa volta creando una regola per "All IP Traffic".

A questo punto, una volta attivato questo Firewall "parziale", la vostra macchina sara' tanto sicura...quanto un computer disconnesso. Questo, senza alcun firewall aggiuntivo al sistema :-).
Fate un test per verificare che fin qui tutto sia ok. Riavviate la connessione Internet se l'avevate chiusa, e provate a navigare. Naturalmente funzionera' come atteso perche' nulla e' ancora attivo.
Per attivare il Firewall, cliccate su Close nella finestra Firewall Properties, e ritornerete alla schermata principale della Management Console che avevamo creato all'inizio. Right-Click su Firewall, e poi cliccate su Assign. Avete immediatamente attivato il vostro Firewall nuovo di zecca.
Provate di nuovo a navigare col vostro browser. Non funziona? Bene! Significa che fin qui tutto e' ok. Nessuna comunicazione di rete e' permessa, in nessuna direzione (inbound/outbound).
Ovviamente un firewall cosi' sara' sicuro si'...ma inutile poiche' non possiamo fare una mazza. Ci serve dunque aprire le porte necessarie ai servizi di cui abbiamo bisogno.
Primo fra tutti, la normale navigazione web. Ci serve dunque aprire la porta 80 in SOLA uscita. Per far cio', ritorniamo alle proprieta' del Firewall, con doppio click. Cliccate su Add->Next->This Rule does not specify a Tunnel->Next->All Network Connections->Active Directory Default->Yes.
Creiamo un nuovo filtro per la porta 80/outbound: cliccate su Add, scegliete come nome per es. "Allowed Traffic" (traffico permesso), cliccate su Add->Next->My IP Address (come sorgente)->Any IP Address (come destinazione)->TCP (come protocollo)->Next->From any port (il pc assegna random ports nel connettersi verso l'esterno ad una specifica porta)->To this port, inserite 80. Cliccate su Next->Finish.
Fate doppio click sul filtro HTTP appena creato, e ASSICURATEVI che Mirrored sia DESELEZIONATO prima di confermare, per le ragioni esposte in precedenza.
Abbiamo ancora bisogno di permettere le query al DNS server, percio' ripetiamo questa ultima procedura creando nuovi filtri in "Allowed Traffic" per la porta 53 sia TCP sia UDP.
A questo punto, se avete seguito correttamente le mie istruzioni, l'unica cosa che potete fare con la vostra connessione e' visitare normali pagine web.
Riprovate col browser, vedrete che la normale navigazione avra' ripreso a funzionare anche col firewall attivato perche' abbiamo, cosi' facendo, bloccato tutto tranne la normale navigazione web.
Aprite anche la porta 443 per i siti sicuri (HTTPS).
A questo punto, se utilizzate un client di posta come Outlook/Thunderbird sul vostro pc invece di una webmail, dovrete aprire con lo stesso procedimento (aggiungendo altri filtri in "Allowed Traffic") le porte 25 (SMTP, per la posta in uscita), e 110 (POP3, per la posta in entrata).
Se utilizzate FTP, le porte sono 20 e 21, e se volete connettervi da remoto al vostro pc la porta e' 3389 ma in entrata, cioe' invertendo sorgente = Any IP Address e destinazione = My IP Address.
Se il vostro PC deve fungere da web server, dovrete aprire la porta 80 in entrata, o selezionare "Mirrored" nella regola HTTP creata all'inizio.
Se avete richieste particolari, o utilizzate anche una LAN, specificate cosa usate cosi' vi dico cosa e' necessario aprire.
Seguite le istruzioni, avrete un setup simile a questo per "Allowed Traffic":



Salvate Adesso la vostra MMC come "Firewall" su file, in modo da averla sempre a disposizione, e esportate le impostazioni create (cosi' da non doverle ricreare se necessario), in file cliccando tasto DX su IP Security Policy Management->All Tasks->Export Policies.

Passando alla pappa pronta, in allegato troverete i file pronti, anche se vi suggerisco di far tutto da voi cosi' imparate qualcosa di nuovo e utile.
Scaricateli, doppio click su Firewall.msc, e importate le impostazioni con tasto dx su IP ecc ecc->Import Policies. Importato il Firewall, attivatelo (tasto dx->Assign).


Fatta tutta sta roba, che c'e' voluto piu' a scriverlo che per voi a farlo ( ), avrete un firewall perfettamente funzionante senza alcun software o servizio di sistema.
Rimane un punto: questi filtri proteggono il traffico in entrata, e per il traffico in uscita servono solo a restringere i servizi che le applicazioni possono utilizzare collegandosi alla rete.
Ma questo sistema non prevede, cosi' com'e', nessun controllo su QUALI applicazioni o processi possono inviare dati in uscita dal vostro pc.
Questo punto e' oggetto spesso di discussione sulla qualita' dei firewall, perche' si e' bene inteso che un malware (virus o spyware) potrebbe inviare dati (anche riservati, per esempio) in uscita su internet senza che ce ne accorgiamo.
Questo e' il tipo di protezione, uni-direzionale, notoriamente offerto da Windows Firewall, ovvero il firewall integrato in Windows XP (la versione in Vista e' bi-direzionale).
Applicando il firewall da noi creato ha praticamente lo stesso effetto di Windows Firewall con nessuna eccezione permessa (tranne specifici casi - web server, rdp ecc).
Il vantaggio del nostro firewall e' la leggerezza imbattibile (si tratta di componenti di sistema facenti parte dello stesso stack TCP/IP di Windows), = nessuna risorsa richiesta in piu' (cpu/memory), e il nostro firewall non compromette minimamente le prestazioni della nostra connessione come invece qualunque firewall, anche quando questi impattano poco.
Fate un test con e senza il nostro firewall, vedrete che la velocita' e' esattamente la stessa. Inoltre Windows Firewall e' un servizio di sistema che - per ragioni ovvie non sto a spiegarvi in questa sede come - e' non difficile disattivare con uno script ben scritto, grazie al fatto che l'utente, quasi sempre (come si diceva prima) ahime' e' Administrator sulla macchina.
Non solo quella "ciofeca" - come spesso lo chiamano - di Windows Firewall manca di protezione sul traffico in uscita, ma anche un ottimo firewall di terze parti come GhostWall e altri ancora meno noti.
I firewalls ritenuti "migliori", sono piu' buoni - a quanto pare di capire da questa nuova "moda" tra i paranoici di software e suite di sicurezza - in misura dei possibili attacchi o azioni maligne che possono controllare anche in uscita.
Di solito essi mostrano un alert che consente all'utente di scegliere se permettere o no ad una data applicazione o processo di connettersi ad Internet nel momento in cui essa tenta la connessione stessa.
Ma questo discorso, che sembra fornire un altro enorme FALSO senso di sicurezza, denota un tentativo di protezione semplicemente RIDICOLO.
Per il solito problema che gli utenti sono di solito amministratori del loro Windows in tutte le attivita', e per la natura del sistema operativo Windows, anche io che sono un comune mortale in termini di sicurezza/programmazione, posso scrivere in poco tempo uno script che aggiunga un mio processo nascosto all'SVCHOST cui 100% dei casi viene concessa la connessione ad Internet, perche' usato da diverse trusted applicazioni, processi, e drivers (anche stampanti di rete, per esempio).
Quindi ora in avanti considerate che questa "protezione" e' tutt'altro che una protezione certa 100%. E' semplicemente, ripeto, RIDICOLA.
I programmatori dietro a GhostWall, non ci vuole molto a capirlo visto che hanno creato il firewall piu' leggero - credo - della storia con impatto minimo sul sistema ecc, sono programmatori con le palle, eppure non hanno perso tempo con la storia del controllo delle applicazioni. Ci sara' un motivo?
Nel nostro caso, by the way, risolveremo egregiamente anche questo problema, quello di ottenere controllo totale sulle connessioni in uscita, con il passo successivo della nostra "sicurezza fai da te", in un modo 100% sicuro che non trova eguali in nessuna implementazione Firewall "esterna" a Windows.


Passiamo dunque alla nostra protezione...


2) ...ANTIVIRUS/ANTISPYWARE ECC.

- Come per il firewall, disinstallate l'Antivirus, se purtroppo ne avevate installato uno. Assicuratevi che il servizio di Secondary Logon sia attivo in Windows (come sopra..)

- Loggatevi come Administrator (quello standard, built-in, di Windows). Se usate il Welcome Screen in XP e non vedete l'utente Administrator, fate questa piccola modifica al registro con Regedit.
Entrate in HKEY_LOCAL_MACHINE->Software->Microsoft->Windows NT->Current Version->Winlogon->SpecialAccounts->UserList, e aggiungete un DWORD con nome Administrator e valore 1.
Fate LogOff quindi ed entrate come Administrator. Cliccate Start->Control Panel->User Accounts. Rinominate l'utente che usate di solito in SysAdmin. Questo sara' il nuovo administrator che utilizzerete soltanto in casi particolari in seguito.
Questo utente comparira' nello Welcome Screen ovviamente, altrimenti fate come sopra, nel registry.
Create dunque un nuovo UTENTE DI TIPO LIMITED col nome che volete: questo sara' l'account che d'ora in avanti utilizzerete per il vostro Windows, normalmente.
Con il trucco che vi suggeriro' presto, sarete in grado di utilizzare un account limitato, quindi col massimo della sicurezza per virus ecc, ma sarete in grado di eseguire processi come Administrator (il nuovo SysAdmin, che in realta' e' l'amministrator che voi usavate sinora), ogni volta che vi pare, ma senza la necessita' di loggarvi in Windows come amministratori.
Questi trucco vi rendera' la vita molto piu' facile, e sicura, mentre senza di esso non e' molto confortevole usare Windows come account limitato.

- Una volta rinominato l'account che usavate (e che gia', quasi sicuramente, apparteneva al gruppo Administrators) in SysAdmin, loggatevi a Windows come quest'ultimo, e disabilitate l'utente Administrator built-in in Windows.
Questo perche' spesso malware ben scritti possono tentare di ovviare alle limitazioni di un account limitato, cercando di craccare l'utente Administrator, sempre presente.
Nel nostro caso invece, esso sara' disabilitato, e l'amministratore effettivo sara' l'altro utente, SysAdmin.
Una volta loggato come SysAdmin e disabilitato Administrator, copiate i due scripts in allegato (AdminCmd e AdminShell) nella cartella di Windows. Sono partito da un unico script scritto da Aaron Margosis di Microsoft, solo che l'ho migliorato un po'
Spiego brevemente a cosa serve questo batch. Basically, quando si e' account limitato, se occorre avviare un programma come Administrator, e' spesso sufficiente cliccare col tasto dx, selezionare RunAs (per cui e' necessario che il servizio di Secondary Logon sia attivo), selezionare Administrator, inserire la password, e voila'.
Peccato che in XP (in Vista la cosa funziona molto meglio, anche se non l'ho testata ancora personalmente) questo non sempre funziona come atteso.
Non funziona con Windows Explorer, per esempio, e con alcune applicazioni. Questo perche' avviando un processo con un altro user, esso usa il token di quell'utente, non dell'utente loggato nella sessione di Windows.
Questo comporta malfunzionamenti di alcuni programmi ecc. Inoltre, in questo caso se si avvia un processo che scrive dati con l'utente Administrator X, quei dati non sono accessibili all'utente (limitato) che originariamente aveva avviato quel processo come Administrator.
Per ovviare a questo inconveniente, la strada migliore e': 1) aggiungere temporaneamente l'utente, quello limitato, al gruppo Administrators; 2) lanciare il processo richiesto, che quindi riconoscera' l'utente limitato come Administrator; 3) rimuovere nuovamente l'utente dal gruppo Administrators.
Lo script di Margosis funziona, ma cosi' com'e' richiede che l'utente, ogni volta che avvia il prompt dei comandi (l'unica cosa disponibile nel suo script) in modalita' amministratore, immetta prima la password dell'Administrator, e poi la propria...
Ho dunque creato dallo script originale due script, uno per avviare il prompt dei comandi come Administrator, e l'altro per avviare Windows Explorer come Administrator, aggiungendo al comando RunAs l'opzione /savecred (Save Credentials), che sava le password inserite la prima volta e non le chiede piu'.
Fatto cio', se si copiano questi due script nella directory di Windows (in modo che siano accessibili da ovunque grazie alla variabile di ambiente %PATH%), basta cliccare Start->Run (o premere tasto Windows + R), e digitare:
- AdminCMD, per eseguire il prompt dei comandi come Administrator (sfondo rosso, per distinguere da una sessione con account limitato)
- AdminShell, per eseguire Windows Explorer come Administrator che sara' utile anche per scrivere in cartelle inacessibili all'account limitato, o installare software da percorsi proibiti all'account limitato, nel caso si utilizzino (come raccomandato subito dopo) le Software Restriction Policies di Windows.
A questo proposito, non ricordo se sono disponibili in tutte le versioni di 2K e XP, boh, verificate

- Passiamo alle restrizioni sul software. Se l'account limitato e' gia' un pugno nell'occhio per gli autori di Virus ecc, le restrizioni sul software sono la conferma definitiva che un antivirus/antispyware ecc non servono, a patto che l'utente sia ovviamente cauto nell'utilizzo del sistema come e' ovvio.
Sperando che nella vostra versione di Windows cio' sia possibile, cliccate Start->Run e digitate GpEdit.msc
Cliccate su (Computer Configuration) Windows Settings->Security Settings->Software Restriction Policies. Tast dx, "Create new restriction policies". Verrano create due sottocartelle, Software Levels & Additional Rules. Cliccate su "Enforcement" nel pannello di destra,



e selezionate "All software files" e "All users except local Administrators".

- Cliccate su "Designated File Types", e rimuovete dalla lista i file .lnk, cosi' che possiate eseguire programmi da un collegamento.

- Cliccate su "Additional Rules", lasciate cosi' come e', ma notate che ci sono dei percorsi di sistema predefiniti.

- Cliccate su "Security Levels", tasto dx su "Disallowed"->Set as default.

In questo momento, avete attivato il cosiddetto "Lock down" di Windows. Un Administrator puo' fare cio' che gli pare, ma un utente limitato:

1 - non puo' scrivere niente nelle cartelle di sistema (Windows e subfolders, Program Files and subfolders, ecc ecc), ma puo' scrivere soltanto nelle cartelle del profilo dell'utente limitato
2 - non puo' eseguire nessuna applicazione o processo che non si trovi nelle cartelle di sistema

Esempio: l'utente (limitato) scarica un programma sul suo desktop (una delle cartelle a cui ha accesso). Fa doppio click su di esso, ma NON puo' installarlo poiche' non e' in una cartella di sistema.
Se quel programma contiene malware, non accadra' nulla al sistema, perche' non puo' essere eseguito come account limitato.
Ma se quel programma e' genuino e sicuro (da fonte sicura ecc), allora l'utente puo' avviare per esempio AdminShell in un secondo, e avviare l'applicazione dalla shell aperta, come SysAdmin (Administrator).

Adesso, una NOTA: se l'utente scarica qualcosa infetta, e la esegue come Administrator, naturalmente cio' causerebbe problemi. E' chiaro dunque che la cautela dell'utente e' qualcosa di non sostituibile, a prescindere dal contesto.
Basta installare soltanto roba sicura, e fare prove ecc (per esempio) in una virtual machine.
Volendo, si puo' ancora, comunque tenere un Antivirus nel sistema, ma invece di tenerlo attivo in tempo reale, lo si usa on demand (per esempio BitDefender free), facendo una scansione su richiesta solo quando si scarica qualcosa da fonti non sicure.
Ma e' inute se assieme alla cautela, si usa RunAs ogni volta che esso funziona bene, e si usano gli script di cui sopra soltanto quando qualcosa non funziona con RunAs (pochi casi comunque!), l'Antivirus e', come il Firewall, INUTILE.
Se seguite alla lettera queste semplici istruzioni, avrete un Windows il cui uso non e' cambiato piu' di tanto, ma molto piu' sicuro e veloce, senza Antivirus e Firewall aggiuntivi.


3) PARENTAL CONTROL

In questo caso, vi sconsiglio di avventurarvi in qualcosa di "manuale" per interrogare un Parental Control Server; e' molto piu' semplice e veloce, infatti, installare il filtro gratuito di BlueCoat. Si chiama K9 Web Filter, e' gratuitamente scaricabile, e in questo caso suggerisco di installare questo tool aggiuntivo su Windows, semplicemente perche' il filtro e' leggerissimo e fa semplicemente una verifica tipo DNS dell'indirizzo che si sta visitando, per verificare se sia classificato come porno, phishing, o qualunque categoria proibita dalle nostre impostazioni.
Praticamente non impatta la velocita' della connessione, e lo consiglio molto se si hanno bambini, ma anche semplicemente perche' e' il miglior database per prevenire gli attacchi di tipo phishing.

4) ANTI SPAM

Questo e' l'unico caso in cui vi suggerisco di usufruire di un servizio a pagamento. Si chiama Spamcop, e costa pochi dollari all'anno, permettendovi di liberarvi dallo spam SENZA installare una mazza sul vostro pc!!
Naturalmente se avete una webmail con Antispam/Antivirus gia' integrata, cio' non vi serve.
Ma se come me avete un dominio con mailbox su POP3, allora procedete con questa cosa. Eliminerete stupidi scanners attivi sul vostro pc che prima scaricheranno TUTTE le email sul vostro pc, per poi filtrarle. Un altro processo (e software) inutile.
Registrato un account com Spamcop.net, e pagata la sottoscrizione annuale, procedete in questo modo:

- avrete bisogno di due caselle di posta, in realta': una pubblica, l'indirizzo che di solito usate e che date a chiunque, e l'altra privata, che non usate MAI pubblicamente e che solo voi conoscete.
- configurate la mailbox dell'indirizzo pubblico, in modo che esso faccia forwarding di tutte le email in ingresso, verso l'indirizzo email registrato con Spamcop. Spamcop filtrera' tutte le email infette da virus, o classificate come spam, da questo account.
- configurate il vostro account su Spamcop, in modo che esso faccia forwarding di tutte le email "genuine", pulite, verso il vostro indirizzo email PRIVATO.
- Configurate Outlook o cmq il client che usate, con entrambi i vostri account POP3, selezionando come default quello PUBBLICO. In questo modo:

1. Il client di posta ricevera' le emails da entrambi gli account POP3 (in realta' soltanto da quello privato, visto che quello pubblico sara' vuoto per via del primo forwarding)
2. Inviera' emails dall'account default, cioe' quello pubblico
3. La posta in arrivo sara' gia' pulita!! No virus, no spam! E senza software Antispam sul vostro pc! Scaricherete sul vostro pc soltanto i messaggi buoni.
Spamcop vi inviera' un report giornaliero o settimanale, a seconda delle vostre preferenze, per dirvi quali email sono classificate come spam e rimaste in una cartella di "held" nel vostro account su Spamcop. Potete dunque ripristinare eventuali falsi positivi, e cancellare la robaccia che fortunatamente non avete dovuto scaricare sul vostro pc.

Posta in arrivo, dunque gia' pulita da Spam e Virus! A proposito di quest'ultimo punto: un ulteriore motivo per cui un Antivirus su Windows e' inutile in questo genere di configurazione, spiegato in queste righe.



Considerazioni finali:

E' chiaro che i primi due punti di questa "guida" richiedono delle conoscenze che di solito non sono bagaglio dell'utente medio, ma vi sarete resi conto che a dispetto della lunghezza di questa sorta di articolo, ci vogliono solo pochi minuti per configurare il tutto su un sistema vergine, e i vantaggi sono molti. In primis:

- Massima sicurezza nel vostro sistema Windows
- Massime prestazioni, senza Antivirus/AntiSpyware/Firewall/AntiSpam o quelle graziose bloatware di security suites che uccidono le prestazioni del vostro computer (avete provato la nuova suite di ZoneAlarm, la 7.x? LOL, peggio di Norton )


Spero che abbiate trovato la lettura utile (ci ho impiegato la notte, vado a dormire fra un po'), e che da essa ne nasca una discussione altrettanto utile, con la speranza che la si possa arricchire con nuovi trucchi, accorgimenti, ecc. ecc.
E anche che la folla di persone paranoiche che eseguono addirittura due antivirus, o antispyware, o firewall allo stesso tempo (assurdo!), sparisca.
Questa paranoia e' semplicemente inutile, e vi porta ad ossessioni che fanno il gioco, e il portafoglio, di molte software house.

Ciaps, Sisupoika

[sampei.nihira]

http://secunia.com/

Guarda che la sicurezza di sistemi operativi Windows NON è messa in discussione da utenti pseudoesperti.....è messa in discussione da Microsoft stessa che guarda caso NON risolve i BUGS (anche a distanza di tempo) che vengono individuati con le opportune patch !!
Meno male che gli sviluppatori di soft sotto windows NON seguono anche loro questa "strada"......

[pistolino]

Ammirevole senza dubbio l'impegno profuso nella realizzazione di questa guida che, però, a mio avviso, include anche dei suggerimenti a dir poco "distruttivi".

Io dico (e naturalmente non e' invenzione mia) che un Windows configurato opportunamente, e usato opportunamente, NON HA BISOGNO DI ALCUN ANTIVIRUS, O SPYWARE, O - come vedremo tra poco - DI UN FIREWALL, qualora con questi termini si intendano software di terze parti che vadano "aggiunti" a Windows.

Come per il firewall, disinstallate l'Antivirus, se purtroppo ne avevate installato uno (...)

Non c'è account limitato che tenga...i virus rappresentano comunque un pericolo IMHO.

Ciò premesso, ritengo che i lettori sceglieranno cosa fare in base alla loro esperienza e al proprio buon senso.

Regards

[lancetta]

post interessante...ma una config del genere previene da eventuali bug che possano effettuare scalate dei privilegi di sistema?Da quanto usi la config in oggetto? Grazie.

[lucas84]

"funziona" solo sulla versione pro, quindi un altra limitazione, a meno che non copi i files dalla pro alla home

Ciao

[Sisupoika]

Originariamente inviato da sampei.nihira

http://secunia.com/

Guarda che la sicurezza di sistemi operativi Windows NON è messa in discussione da utenti pseudoesperti.....è messa in discussione da Microsoft stessa che guarda caso NON risolve i BUGS (anche a distanza di tempo) che vengono individuati con le opportune patch !!
Meno male che gli sviluppatori di soft sotto windows NON seguono anche loro questa "strada"......

Perche' hai linkato secunia? Scusa, non ho inteso.
Forse non mi sono espresso bene quanto ho scritto che Windows e' piu' sicuro che di quanto non si creda, ma e' cio' che intendevo comunque.
Il discorso sulle patch ecc e' ovvio!
Ed e' noto che su Windows, nel tempo, vengano scoperte vulnerabilita' in un numero che non trova uguali in altri sistemi operativi; ma cio' e' dovuto anche al targeting del sistema operativo, come ho cercato di dire!
Su questo fronte, un chiarimento: naturalmente Windows non regge il confronto con gli altri OS sotto questo aspetto.

Ma la questione principale e':

1 - Windows viene "consegnato" nelle mani dell'utente (che non sia a conoscenza di tutto quanto scritto nel primo post, cioe', diciamo, un utente cosiddetto "medio") in condizioni, e una configurazione di default, che lo rendono *senza ombra di dubbio* estremamente meno sicuro degli altri OS. Ma se da un lato e' certo che, a causa delle molte vulnerabilita' da patchare nel tempo, Windows sia generalmente meno sicuro di Linux & co., dall'altro questo genere di configurazione di default NON significa che Windows provveda sicurezza zero, come la stragrande maggioranza degli illetterati in materia crede!
L'obiettivo del thread e' fornire all'utente - che non sia gia' in possesso di queste informazioni - una visione di Windows che vada oltre questa configurazione di default e che li metta in grado, in realta' con uno sforzo molto piccolo, di riconfigurare il proprio Windows al fine di renderlo molto piu' sicuro di quanto lo sia in partenza, in modo da avvicinarsi ad un grado di sicurezza che alla fine, conti fatti, non e' distante anni luce da Linux ecc ecc!

La questione patch ecc e' fuori dubbio: Windows ha bisogno di essere costantemente aggiornato a causa delle numerose vulnerabilita'.

MA, e qui e' il bello: con una configurazione tipo quella sopra avresti:

1 - un sistema altrettanto semplice da usare (come detto, soltanto quando necessario bisogna avviare un processo come Administrator, per il resto tutto uguale)

2 - un sistema Windows estremamente piu' sicuro di quanto Windows non sia by default

3 - un sistema che gira senza alcunche' che ne affligga le prestazioni (come Antivirus, Firewall, Antispyware, AntiSpam, ecc)

e, venendo al punto:

4 - con un sistema Windows cosi' configurato, gli effetti di un buon 99% di possibili attachi, malware, ecc ecc, sarebbero praticamente NULLI. I possibili effetti del restante 1% di malware piu' "potenti" sarebbero semplicemente MINIMI. Questo perche' qualunque cosa accada sotto un utente limitato, non affligge l'intero sistema per via degli scarsi diritti. Nel caso, basta cancellare l'account limitato e ricrearlo. Altro che scansioni, puliture, ecc ecc.
La STRAGRANDE maggioranza delle patch di sicurezza rilasciate da Microsoft - ti svelo un segreto - non occorrerebbe neanche installarle: la maggioranza delle patches, infatti, toppa buchi di sicurezza dovuti appunto ai diritti di amministratore dell'utente!!!
La domanda verrebbe spontanea: perche' dunque Microsoft continua su questa strada, fornendo il sistema operativo tutt'altro che blindato di default, pur di dare priorita' alla facilita' d'uso che ha decretato il successo stesso di Windows?
Risposte molto probabili:
1 - Mercato. Cosi' facendo, e' riuscita in pochi anni a creare un monopolio di fatto, un impero del software dalle dimensioni ragguardevoli, nonostante la presenza di alternative di default piu' sicure, come i vari cloni e derivati di Unix ecc ecc.
2 - Nel tempo, questa cattiva configurazione di default ha fatto si' che altrettanto cattivi programmatori (anche nella stessa Microsoft..LOL..basti pensare alle versioni precedenti di Office) scrivessero applicazioni che funzionano soltanto se l'utente ha pieni diritti di amministratore sulla macchina.
La cosa LOL e' che anche la maggioranza dei software antivirus, firewall, suite di sicurezza ecc non funzionano correttamente con un account limitato.
Se un giorno Microsoft, svegliandosi, avesse deciso di tornare indietro sui suoi passi e cambiare la cosa radicalmente (come noi facciamo manualmente con questa configurazione in oggetto), l'utente Windows si sarebbe trovato di colpo con una serie di applicazioni che NON avrebbero funzionato correttamente con un account limitato.
Questo e' il processo che ha portato Microsoft alla configurazione dell'"utente standard" di Vista, ma molto lentamente; ci e' voluto del tempo affinche' i produttori di software rilasciassero nuove versioni dei loro prodotti, che funzionino correttamente anche con account limitati.

Spero sia piu' chiaro, a questo punto, il significato attribuito alle parole "piu' sicuro".

[Sisupoika]

Originariamente inviato da pistolino

Ammirevole senza dubbio l'impegno profuso nella realizzazione di questa guida che, però, a mio avviso, include anche dei suggerimenti a dir poco "distruttivi".





Non c'è account limitato che tenga...i virus rappresentano comunque un pericolo IMHO.

Ciò premesso, ritengo che i lettori sceglieranno cosa fare in base alla loro esperienza e al proprio buon senso.

Regards

Pistolino, se parli di suggerimenti "a dir poco distruttivi", allora temo tu non abbia bene inteso o letto il contenuto del post.
Sono state esposte delle condizioni, ottenibili specificatamente con una (veloce!) riconfigurazione Windows, tali da creare una situazione in cui i software di terze parti in oggetto diventano praticamente inutili.
Questo, come gia' detto, se a queste condizioni da noi ricreate si accompagna l'uso opportuno e cauto come naturalmente dovrebbe sempre essere.

Non c'è account limitato che tenga...i virus rappresentano comunque un pericolo IMHO.

Qui commetti un errore grossolano: quello di generalizzare il tutto sotto la categoria "Virus".
C'e' Virus, e c'e' Virus.
La percentuale di virus o comunque malware in grado di bypassare restrizioni cosi' forti e', come detta, minima, come anche MINIMI sarebbero gli effetti di un eventuale malware che ci riuscisse, per le ragioni esposte.
Non ha dunque senso considerare tutti i virus alla stessa stregua.

[Sisupoika]

Originariamente inviato da lancetta

post interessante...ma una config del genere previene da eventuali bug che possano effettuare scalate dei privilegi di sistema?Da quanto usi la config in oggetto? Grazie.

In quasi tutti i casi di vulnerabilita', per cui vengono rilasciate patch, questa configurazione previene danni poiche' esse si basano, come gia' detto, sui diritti di Administrator e si ritroverebbero non solo le limitazioni di uno Limited User Account (LUA) di default, ma anche le restrizioni software che fanno un vero e proprio Lock Down di Windows. In un account limitato + restrizioni sul software, non ci sarebbero problemi anche senza installare molte patch di sicurezza.
Ma INSTALLATELE, semplicemente perche' Microsoft non rende noto quali aggiornamenti correggono vulnerabilita' di questo tipo.
Tutte queste informazioni vengono o sono state confermate da una collaborazione passata con F-Secure, una software house in sicurezza in Finlandia (alcuni di voi la conosceranno sicuramente). Ma se tu invii una email a loro e chiedi queste cose, e' prassi che loro ti diranno "No!!! Hai bisogno di Antivirus", perche' altrimenti si toglierebbero il pane da soli

[Sisupoika]

Originariamente inviato da lucas84

"funziona" solo sulla versione pro, quindi un altra limitazione, a meno che non copi i files dalla pro alla home

Ciao

Scopo di questo thread e' anche quello di arricchirlo con informazioni come ad esempio, eventuali problemi nell'implementare tale configurazione sui vari sistemi.

Purtroppo non ho mai usato una versione Home e non mi ricordo di cosa le manchi. Ma sono in errore, se dico che soltanto le restrizioni sul software non sono disponibili di default su Windows Xp Home? Non ne sono sicuro, quindi vi invito a verificare.

Tuttavia, possiamo arricchire il thread anche con una sorta di "studio" su come replicare il tutto su Xp Home anche se il SO non presenta di default questi strumenti. Sicuramente ci sara' qualcuno disponibile a smanettare con me in tale direzione, per rendere la cosa accessibile anche agli utenti di Xp Home (ricordate che e' stato trovato il sistema per installare IIS su Xp Home?)

Per ora, attendiamo conferme da altri utenti circa quanto e' disponibile o meno sulla Home.

[Sisupoika]

Originariamente inviato da deepdark

La usiamo da anni in ufficio (non grazie a me), ad oggi mai avuti problemi.

Cool. Come in molte grandi aziende.
Puoi confermare che, oltre a non avere alcun problema con malware e attacchi, i vostri sistemi Windows rimangono, nel tempo, veloci e responsitive cosi' come lo erano al termine del setup?
Questo perche' una configurazione di questo previene anche uno "sporcamento" del sistema.

[Riverside]

Originariamente inviato da Sisupoika

I motivi per cui ho deciso di scrivere questa sorta di guida sono, principalmente:
- la maggioranza degli utenti NON conosce il sistema operativo Windows;

Questa è la ragione per la quale, consigliamo, sempre, di installare un buon antivirus e un buon firewall ...... è la stessa ragione per la quale, a parte la premessa che ho quotato, ho tralasciato, il contenuto del resto del tuo post.
Non te la prendere ..... mai sai, tendenzialmente, ad un forum che si occupa di "sicurezza" (o, comunque, problematiche correlate), si rivolgono, essenzialmente, persone che, a livello di informatica, hanno una istruzione di base.
E, tu avresti la pretesa di voler far "navigare", quelle persone, in rete, senza ativirus e senza firewall?.
Sii serio, a livello di sicurezza il "fai da te" non esiste.

[Sisupoika]

Originariamente inviato da Riverside

Questa è la ragione per la quale, consigliamo, sempre, di installare un buon antivirus e un buon firewall ...... è la stessa ragione per la quale, a parte la premessa che ho quotato, ho tralasciato, il contenuto del resto del tuo post.
Non te la prendere ..... mai sai, tendenzialmente, ad un forum che si occupa di "sicurezza" (o, comunqu
e, problematiche correlate), si rivolgono, essenzialmente, persone che, a livello di informatica, hanno una istruzione di base.
E, tu avresti la pretesa di voler far "navigare", quelle persone, in rete, senza ativirus e senza firewall?.
Sii serio, a livello di sicurezza il "fai da te" non esiste.

E' ovvio che consigli Antivirus e Firewall a chi non conosce Windows e non e' in grado di gestire il sistema in questo modo!

Nel thread non c'e' alcuna pretesa, hai frainteso.
C'e' una proposta, una alternativa, trova tu il termine adatto. Il che e' ben diverso.
Hai fatto caso, nel primo post, dove ho scritto

Questo genere di setup e' per chi vuole smanettare, provare, imparare, ecc, e al tempo stesso trarne dei benefici concreti da questi "esperimenti" (per i non iniziati).

Forse ti e' sfuggito. Non ho presentato alcuna pretesa a far navigare "chiunque" in Internet senza Antivirus e Firewall, il target di questa discussione penso sia ben chiaro.
Quindi, nessun bisogno di invitarmi ad "essere serio", il che e' fuori luogo. Con buona pace di entrambi

[juninho85]

ora m'hai incuriosito....faccio tutto poi passo alla partizione kamikadze!

[Sisupoika]

Originariamente inviato da juninho85

ora m'hai incuriosito....faccio tutto poi passo alla partizione kamikadze!

LOL

ecco, il thread era rivolto appunto agli smanettoni

[Riverside]

Originariamente inviato da Sisupoika

C'e' una proposta, una alternativa, trova tu il termine adatto. Il che e' ben diverso.

Sai quante proposte "alternative" potrei (e non solo io, credo) proporre, in merito?: la tua è una delle diverse.
Il fatto è che, le proposte "alternative" possono essere indirizzate, a coloro che "smannettano" e non, certamente, ad un utente con conscenze di base.
Ora, dimmi, tra le due (smanettoni - utenti di base), secondo il tuo, lungimirante, parere, chi è che frequenta e/o richiede assistenza su un Forum?.
Per favore, prendila per ciò che vuole essere ed è: una osservazione e, non, una polemica.

[lancetta]

Originariamente inviato da juninho85

ora m'hai incuriosito....faccio tutto poi passo alla partizione kamikadze!

ed io aspetterò i tuoi risultati.. (il mio muletto ha deciso l'altro ieri di morire )

Sisupoika--da quanto usi questa config? come l'hai testata? dacci qualche info sulle prove.... grazie

[Sisupoika]

Originariamente inviato da Riverside

Sai quante proposte "alternative" potrei (e non solo io, credo) proporre, in merito?: la tua è una delle diverse.
Il fatto è che, le proposte "alternative" possono essere indirizzate, a coloro che "smannettano" e non, certamente, ad un utente con conscenze di base.
Ora, dimmi, tra le due (smanettoni - utenti di base), secondo il tuo, lungimirante, parere, chi è che frequenta e/o richiede assistenza su un Forum?.
Per favore, prendila per ciò che vuole essere ed è: una osservazione e, non, una polemica.

Che pero' suona come una polemica
Nel momento in cui dico: "questo thread e' rivolto agli smanettoni, a chi sa fare, a chi vuole fare, non a chi non ne conosce una mazza", cosa c'e' di difficile da capire?
Semplicemente non e' rivolto a chi non ha alcuna conoscenza o quasi, essi continueranno ad utilizzare Antivirus, Firewall ecc ecc come al solito almeno finche' non sara' piu' necessario. Vista ha gia' fatto un passo in questa direzione. Chiaro?

Sperando che questo sia chiarito definitivamente, di quali altre alternative parli? Perche' non le proponi, in modo da arricchire questa discussione o, se preferisci, in una nuova.
Sta sicuro che i molti smanettoni che frequentano il forum, assieme ai tanti che lo sono meno, apprezzeranno.

Originariamente inviato da lancetta

ed io aspetterò i tuoi risultati.. (il mio muletto ha deciso l'altro ieri di morire )

Sisupoika--da quanto usi questa config? come l'hai testata? dacci qualche info sulle prove.... grazie

Che la uso individualmente, da qualche tempo dopo che era uscito XP e presi la PRO sul mio laptop, chi si ricorda di preciso; non feci altro che replicare tutto quanto imparato in ambiente lavorativo dove - anche li' - abbiamo piu' di un centinaio di workstations configurate a questo modo, con un 1% di IT staff e il restante 99% in marketing, call centre, ecc, che non sanno una mazza di pc. Mai accaduto nulla, mai un virus, mai una intrusione, e gli utenti lavorano normalmente (loro non hanno, pero', la possibilita' di avviare una shell come Administrator che, appunto, uso solo io). Stessa configurazione, troverai in molte grandi aziende con dipartimenti IT. Aziende che non dipendono da firewall/antivirus/antispyware ecc, ma si limitano ad aggiornare Windows di tanto in tanto.

[lancetta]

quindi se becco che sò un sito gromozon non avrei problemi...giusto....mi spiego sul portatile uso un virtualizzatore (sandbox) che già di per sè si sente un pochino, doppio account,antivirus e firewall,la cosa di eliminare gli ultimi 2 non mi dispiacerebbe...

[Sisupoika]

Originariamente inviato da lancetta

quindi se becco che sò un sito gromozon non avrei problemi...giusto....mi spiego sul portatile uso un virtualizzatore (sandbox) che
già di per sè si sente un pochino, doppio account,antivirus e firewall,la cosa di eliminare gli ultimi 2 non mi dispiacerebbe...

Gromozon? Non farebbe una cippa perche' sfrutta i diritti di amministratore, che non avrebbe. Non potrebbe modificare il browser, non potrebbe scrivere niente nelle cartelle di sistema ne' eseguire niente - da se' - all'infuori di queste.

[Swisström]

Originariamente inviato da Sisupoika

E' ovvio che consigli Antivirus e Firewall a chi non conosce Windows e non e' in grado di gestire il sistema in questo modo!

Nel thread non c'e' alcuna pretesa, hai frainteso.
C'e' una proposta, una alternativa, trova tu il termine adatto. Il che e' ben diverso.
Hai fatto caso, nel primo post, dove ho scritto

Bella guida, ... ora non mi resta che provarlo
Probabilmente manterrò attivo comunque un antivirus (AVIRA free), ma solo perchè amo cliccare sugli eseguibili (anche se al 99.9999% dei casi scarico solo applicazioni "pulite"). E magari anche un qualche antispyware (on demand ovviamente).

Ora come ora uso solo un firewall hardware, non mi diventerà troppo "palloso" dover aprire tutte le porte necessarie (per l'aggiornamento dell'antivirus, emule, utorrent, opera, thunderbird, antispyware, ultravnc, e molti altri) su MMC?

E.. altra cosa, aprire la porta 80 in sola uscita? in ste cose son niubbo, ma sulla porta 80 non si ricevono anche tutti i dati dall http ?