regles climenole

[jeronimo]

salut,

aprés un test sur securityspace avec les regles climenole (en dmz), j'ai ce resultat:

Low Risk Vulnerabilities
51663 Misc. : ICMP timestamp request
51662 Misc. : Traceroute

Other Items to be Considered
51984 General : Reverse DNS Lookup

tout les ports sont bien fermés mais j'aimerais savoir si j'ai bien configuré toute les regles comme il le faut (dns, dhcp,arp...)

j'ai un modem routeur netgear dg834g en dhcp sous vista

merci

http://cjoint.com/data/jnxBWFJLPw_Sans_titre.jpg
http://cjoint.com/data/jnxCMltIrQ_Sans_titrde.jpg
http://cjoint.com/data/jnxDHPNoCW_Sanfds_titre.jpg

[Climenole]

Bonjour Jeronimo :)

{QUOTE-> salut,

aprés un test sur securityspace avec les regles climenole (en dmz), j'ai ce resultat:

Low Risk Vulnerabilities
51663 Misc. : ICMP timestamp request
51662 Misc. : Traceroute

Other Items to be Considered
51984 General : Reverse DNS Lookup
<-QUOTE}

Vérifie que le ping ne proviendrait pas du routeur lui-même...


{QUOTE->

tout les ports sont bien fermés mais j'aimerais savoir si j'ai bien configuré toute les regles comme
il le faut (dns, dhcp,arp...)

j'ai un modem routeur netgear dg834g en dhcp sous vista

merci
<-QUOTE}

OK: je vais y jeter un coup d'oeil.
De ton côté il faut vérifier le blocage des paquets sortants en UDP et IGMP
pour les paquets destinés à la communication entre le PC et le routeur...

{QUOTE->
http://cjoint.com/data/jnxBWFJLPw_Sans_titre.jpg
<-QUOTE}
Supprime les règles B3 à B6 inclusivement.

{QUOTE->
http://cjoint.com/data/jnxCMltIrQ_Sans_titrde.jpg
<-QUOTE}

Supprime les lignes de commentaire...

{QUOTE->
http://cjoint.com/data/jnxDHPNoCW_Sanfds_titre.jpg
<-QUOTE}

Les règles S0 à S8 peuvent être désactivées et seule la règle
{S..0000001}; [TCP] {{ Applications Internet }} sera utilisée.
Les autres règles "S" sont pour le "fun" (voir les flags des échanges en TCP) ;-)

Pour ce qui est du détail de la config DHCP, DNS regarde s'il y a des paquets
bloqués en UDP...

J'espère que cela va t'aider.

:)

[jeronimo]

ok merci, j vais faire ce que tu m'as dit, une petite question qui me turlute peut etre sans importance

a quoi correspond le ligne "messenger test" et est ce que ca represente un danger pour la securité.

car j'avais remarqué dans des regles phantoms une ligne "msn violation" qui bloquait les paquets udp sortant sur le port 7001.

ps: avec cette regle le stateful packet inspection est il necessaire ou je peux le desactiver?

http://cjoint.com/?jodqEra8Lu
http://cjoint.com/?jodrijS4Aj
http://cjoint.com/?jodrEviiDv


en tout cas merci climenole, pour moi ta regle est meilleure que la regle phantoms

a plus

[Climenole]

Bonjour jeronimo :)

{QUOTE-> ok merci, j vais faire ce que tu m'as dit, une petite question qui me turlute peut etre sans importance

a quoi correspond le ligne "messenger test" et est ce que ca represente un danger pour la securité.

car j'avais remarqué dans des regles phantoms une ligne "msn violation" qui bloquait les paquets udp sortant sur le port 7001.
<-QUOTE}

C'est seulement un test pour vérifier la connexion réseau:
http://support.microsoft.com/kb/831703/fr

Faut pas devenir parano... ;)


{QUOTE->
ps: avec cette regle le stateful packet inspection est il necessaire ou je peux le desactiver?

http://cjoint.com/?jodqEra8Lu
http://cjoint.com/?jodrijS4Aj
http://cjoint.com/?jodrEviiDv
<-QUOTE}

Je te suggère d'utiliser le SPI quand même...

{QUOTE->
en tout cas merci climenole, pour moi ta regle est meilleure que la regle phantoms

a plus <-QUOTE}

Merci.

:)

[jeronimo]

salut climenole,

j'ai reglé les messages igmp (pour la regle {A.60} si je me suis pas trompé) comme tu me l'a dit en regardant dans le log apparement tout est bon l'adresse ip etait 224.0.0.22 et j'ai rentré les 2 adresses mac qui apparaissaient.

autre chose qui me turlute c'est cette regle WIFI securisé qui ne filtre rien du tout.

c'est normal? pourtant je suis bien en wifi...

et pour terminer, tu m'a parlé d'icmp mais aussi d'udp quel regle je doit modifier?

;D

[Climenole]

Bonjour jeronimo :)

{QUOTE-> salut climenole,

j'ai reglé les messages igmp (pour la regle {A.60} si je me suis pas trompé) comme tu me l'a dit en regardant dans le log apparement tout est bon l'adresse ip etait 224.0.0.22 et j'ai rentré les 2 adresses mac qui apparaissaient.
<-QUOTE}

Ok. Tu as fait exactement ce qu'il fallait faire: examiner le log et adapter les règles en conséquences. :thumb:

{QUOTE->
autre chose qui me turlute c'est cette regle WIFI securisé qui ne filtre rien du tout.

c'est normal? pourtant je suis bien en wifi...
<-QUOTE}

La règle (doit être activée et elle) ne sert qu'aux connexion WiFi "wep" ou "wap"... Si la connexion se fait sur un réseau non-sécurisé cette règle n'est pas utilisée.

Dans les connexions réseau de ton WiFi as-tu entré une clé d'accès à ce réseau? Si oui, il est "sécurisé"...

{QUOTE->
et pour terminer, tu m'a parlé d'icmp mais aussi d'udp quel regle je doit modifier?

;D <-QUOTE}

L'Icmp devrait être correct et l'UDP est à vérifier dans le cas des applications.
Vérifie dans le log pour des paquets UDP en sortie.
S'il sont bloqués cela signifie que des règles UDP doivent être crées (ou modifiées).

:)

[jeronimo]

tout marche niquel

merci pour toute ces precisions.

a+

:)

[Climenole]

Bonjour Jeronimo :)

Merci pour le retour d'expérience. :thumb:

:)

[jeronimo]

salut,

j'ai encore une question, a quoi sers la regle remote whois {R 4321 01}

[Climenole]

Bonjour Jeronimo :)

RWhois est utilisé, entre autre, par LnS...
Voir onglet "Journal", bouton "Info source", bouton "Whois" ...

Cette règle sert uniquement à indiquer une entrée plus visible dans le journal.
Si cette règle est désactivée ou supprimée alors c'est la règle générale " {S..0000001}; [TCP] {{ Applications Internet }} " qui s'en occupe.

Réf.:
wikipedia: Whois (http://fr.wikipedia.org/wiki/Whois)

:)

[jeronimo]

ok merci,

sinon j'ai desactivé le dhcp sur mon routeur car il ne m'est d'aucune utilité et j'ai assigné une ip fixe en local ( 192.168.0.2 )

j'ai desactiver les 2 regles DHCP {A 71 et A 72}

est ce qu'il faut que regler autre chose dans la regle si on utilise pas le dhcp?

[Climenole]

Bonjour Jeronimo :)

Je pense que c'est correct comme ça. S'il y a quelque chose qui ne tourne pas rond les blocages indiqués dans le log sont la meilleure indication.

Bonne journée.

:)

[jeronimo]

merci oué c'est parfait.

jte demande des infos car j'aimerais bien crée une regle un jour si je suis assez calé pour ca, c'est pas du tout le cas encore...

:'(

;D

a +