|
ru.linux
- RU.LINUX ---------------------------------------------------------------------
From : Anton Shuko 2:5005/66 03 Dec 2003 10:39:41
To : Il'ya Teterin
Subject : так ли необходим сетевой экран?
--------------------------------------------------------------------------------
02 Dec 03 23:29, you wrote to Igor Tihonov:
IyT>>> ИМХО пакетные фильтры - какая-то дурость. Вместо того, чтобы
IyT>>> решать задачу авторизации средствами самого сетевого сервиса,
IyT>>> ее зачем-то решают средствами пакетного фильтра, хотя
IyT>>> средствами сервиса было бы логичнее и более гибко. Hо это
IyT>>> модная дурость.
IT>> ага, реши мне "средствами самого сетевого сервиса" проблему
IT>> RPC в офтопике 2000/xp ?
IT>> или нюка под 9x ? или даж не нюка, а ~доброго~ юзера сидящего
IT>> под под 9x и расшаревшего свой диск для соседа?
IT>>
IT>> при помощи фарвола это запросто решается... но это ~модная
IT>> дурость~ поэтому ваш ход!
IT> Дык это все и есть "модная дурость" - идеологически неправильное, но
IT> широко распространенное решение, навроде лечения системы
IT> переустановкой.
предложи способ борьбы с этой модной дуростью. т.е. что мне делать, если
в виндовом сервисе обнаружат очередную дырку, а патчика еще нету и сервис этот
стопать низя ? предложи способ борьбы с малоизвестными дырками. накой нада
лазить по инету в поисках очередной дыры для тех же клиентских масдаев. проще
держать их за фаерволом, закрывающим все входящие нахрен и накладывать апдейты,
после того как их поставят другие, обматерят за кучу глюков, поставят следующий
и скажут терпимо...
аналогичное применимо и к линуху. там конечно проще сервисы остановить ненужные,
но опять же не всем им торчать наружу нужно и не все они могут слушать только на
локалхосте, хоть удавись. а те что торчат наружу тоже не все должны быть открыты
для всех. и потом, фаерволом разрулить доступ бывает проще,
чем настраивать персонально каждый сервис с кучей его особенностей. можешь
кидаться какашками и кричать масдай. да оно "теоретически неправильно". но админ
занимается не сферическим конем в вакууме, а вполне практическими задачами.
теорией пусть разработчики озадачиваются, как сделать софтину так, чтобы её
юзали "правильно". и когда выходит очередной эксплойт к ssh я не рву жопу срочно
тестить патчик, что он работает и не ломает сервис, а потом ставить его. просто
жду апдейта для своего дистрибута (если долго то сам делаю), тестирую, ставлю.
неторопясь, в нормальном рабочем режиме. ssh обычно закрыт от всех кроме меня.
атаки с подделкой адреса достаточно сложные и вероятность выпадения продвинутого
хакера на тебя невысока. а если и выпал то есть другие
уровни защиты.
ЗЫ: сейчас модно стало сажать всех на фэйк, а киской делать нат. в том числе для
серверов.
Anton
--- GoldED/W32 3.0.1
* Origin: Пиво пить - здоровым быть !!! (2:5005/66)
Вернуться к списку тем, сортированных по: возрастание даты уменьшение даты тема автор
|
так ли необходим сетевой экран? 